Правовые принципы защиты данных

Правовое регулирование защиты информации опирается на принципы информационного права. Данные принципы, базирующиеся на положениях основных конституционных норм, закрепляют информационные права и свободы, а так же гарантируют их осуществление. Кроме того, основные правовые принципы защиты информации основываются на особенностях и юридических свойствах информации как полноценного объекта правоотношений.

Правовые принципы защиты информации:

• законность;
• приоритет международного права над внутригосударственным;
• собственность и экономическая целесообразность.

Организационные принципы защиты данных

Роль организационной защиты информации в системе мер безопасности определяется своевременностью и правильностью принимаемых руководством управленческих решений, при учете имеющихся в распоряжении средств, способов и методов защиты информации, также на основе действующих нормативно-методических документов.

Организационные методы защиты предполагают проведение организационно-технических и организационно-правовых мероприятий, а так же включают в себя следующие принципы защиты информации:

• научный подход к организации защиты информации;
• системный и комплексный подход к организации защиты информации;
• ограничение числа допускаемых лиц к защищаемой информации;
• личная ответственность персонала за сохранность доверенной информации;
• единство мнений в решении производственных, коммерческих и финансовых вопросов;
• непрерывность процесса защиты информации.

Принципы защиты информации от ТСР (технические средства разведки)

• активная защита информации -целенаправленное навязывание разведке ложных представлений об объекте и его устремлениях, соответственно замыслу защиты;
• убедительная защита информации - принцип, состоящий в оправданности замысла и мер защиты условиям и обстановке. Соответствует характеру защищаемого объекта, а также свойствам окружающей среды, позволяющих применение технических средств защиты в подходящих климатических, сезонных и других условиях;
• непрерывность процесса защиты информации, что предполагает организацию защиты объектов на всех стадиях жизненного цикла разработки и эксплуатации;
• разнообразие средств защиты информации - исключение шаблонов на этапе выбора объектов прикрытия и разнообразных путей реализации защиты, не исключая применение типовых решений.

Билет 34.

Объектом защиты информации является компьютерная система или автоматизированная система обработки данных (АСОД). В работах, посвященных защите информации в автоматизированных системах, до последнего времени использовался термин АСОД, который все чаще заменяется термином КС. Что же понимается под этим термином?

Компьютерная система - это комплекс аппаратных и программных средств, предназначенных для автоматизированного сбора, хранения, обработки, передачи и получения информации. Наряду с термином «информация» применительно к КС часто используют термин «данные». Используется и другое понятие - «информационные ресурсы». В соответствии с законом РФ «Об информации, информатизации и защите информации» под информационными ресурсами понимаются отдельные документы и отдельные массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных и других информационных системах).

Понятие КС очень широкое и оно охватывает следующие системы:

• ЭВМ всех классов и назначений;
• вычислительные комплексы и системы;
• вычислительные сети (локальные, региональные и глобальные).

Анализу содержания понятия \"информационная безопасность\" обычно исследователями уделяется значительное внимание, в то время как понятие, как опасность и угроза рассматриваются несколько упрощенно и в основном в суженном в плане, оторванном от контекста понятия \"информационная безопасностьаційна безпека".

Необходимость в разработке понятия \"угроза\" определяется: 1) отсутствием единого подхода к исследованию основных понятий информационной безопасности, 2) недостаточная разработанность родового понятия \"угроза\" \"и вопросам его отграничения от других родственных понятий, таких, как\" опасность \",\" вызов \",\" риск \", и соответственно видового\" информационная угроза \"и его отграничения от таких понятий, как\" информационная война \",\" информационное противоборство \",\" информационный терроризм \", 3) наличием нерешенной проблемы формирования категорийные-понятийного аппарата теории информационной безопасности, 4) возможностью на основании тео ских разработок данного аппарата формировать адекватную систему мониторинга и управления угрозами и опасностями в информационной сферадекватну систему моніторингу та управління загрозами та небезпеками в інформаційній сфері.

Наиболее широко угрозы информационным ресурсам можно рассматривать как потенциально возможные случаи природного, технического или антропогенного характера, которые могут вызвать нежелательное воздействие на информационную в систему, а также на информацию, хранящуюся в ней Возникновение угрозы, т.е. нахождения источника актуализации определенных событий в угрозы характеризуется таким элементом, как уязвимость Именно по на явности уязвимости как определенной характеристики системы и происходит активизация угроз Бесспорно, что сами угрозы по своей сути согласно теории множеств является не исчерпывающими, а значит и не могут быть п иддани полном описательнойові.

Интегрируя различные подходы, а также предложения по решению данного вопроса, считаем, что можно выделить следующие виды угроз информационной безопасности: раскрытие информационных ресурсов, нарушение их целостности; сбой в работе самого ванн.

Несанкционированный доступ — доступ к информации в нарушение должностных полномочий сотрудника, доступ к закрытой для публичного доступа информации со стороны лиц, не имеющих разрешения на доступ к этой информации. Также несанкционированным доступом в отдельных случаях называют получение доступа к информации лицом, имеющим право на доступ к этой информации в объёме, превышающем необходимый для выполнения служебных обязанностей.

Причины несанкционированного доступа к информации[ править | править вики-текст ]

Основная статья: Каналы утечки информации

· ошибки конфигурации (прав доступа, файрволов, ограничений на массовость запросов к базам данных),

· слабая защищённость средств авторизации (хищение паролей, смарт-карт, физический доступ к плохо охраняемому оборудованию, доступ к незаблокированным рабочим местам сотрудников в отсутствие сотрудников),

· ошибки в программном обеспечении,

· злоупотребление служебными полномочиями (воровство резервных копий, копирование информации на внешние носители при праве доступа к информации),

· Прослушивание каналов связи при использовании незащищённых соединений внутри ЛВС,

· Использование клавиатурных шпионов, вирусов и троянов на компьютерах сотрудников для имперсонализации.

Последствия несанкционированного доступа к информации[ править | править вики-текст ]

· утечка персональных данных (сотрудников компании и организаций-партнеров),

· утечка коммерческой тайны и ноу-хау,

· утечка служебной переписки,

· утечка государственной тайны,

· полное либо частичное лишение работоспособности системы безопасности компании.

Предотвращение утечек[ править | править вики-текст ]

Основная статья: Предотвращение утечек

Для предотвращения несанкционированного доступа к информации используются программные и технические средства, например, DLP-системы.

Билет 35.

Поиск по сайту: