Защита информации в информационной безопасности¶
Защита информации — это комплекс правовых, организационных и технических мер, направленных на предотвращение утечки, уничтожения, модификации, копирования и блокирования информации в процессе её обработки, хранения и передачи. В российском законодательстве понятие закреплено в Федеральном законе № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (2006) и в статье 16 закона «О безопасности» (1992), где защита информации определяется как «совокупность средств и методов обеспечения защиты информации от угроз при её обработке в информационных системах».
¶Правовая основа в России
Основные нормативные акты, регулирующие защиту информации в РФ:
- Федеральный закон № 149-ФЗ (2006) — базовый закон об информации и её защите;
- Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры» (2017) — устанавливает требования к защите объектов КИИ;
- Приказ ФСТЭК России № 21 (2013) — перечень и состав мер защиты персональных данных при их обработке в информационных системах;
- Приказ ФСТЭК России № 23 (2014) — требования к защите персональных данных при их обработке в информационных системах;
- ГОСТ Р 50922-2006 — «Защита информации. Основные термины и определения».
Защита информации от несанкционированного доступа (НСД) регулируется в том числе постановлением Правительства РФ № 1119 (2012), устанавливающим уровни защищённости персональных данных.
¶Классификация угроз
Угрозы информации классифицируются по ряду признаков:
| Признак | Виды |
|---|---|
| По источнику | Внешние, внутренние |
| По характеру воздействия | Случайные, преднамеренные |
| По объекту воздействия | На технические средства, на данные, на каналы связи |
| По способу реализации | Физическое воздействие, программное, социотехническое |
| По последствиям | Раскрытие (утечка), искажение, уничтожение, блокирование |
К основным угрозам относятся: вредоносное программное обеспечение (вирусы, шифровальщики, шпионские программы), сетевые атаки (DoS/DDoS, MITM, SQL-инъекции), социальная инженерия, физический доступ к носителям информации, компрометация учётных записей.
¶Основные меры защиты
¶Организационные меры
К организационным мерам защиты относятся:
- разработка и внедрение политик безопасности;
- разграничение допуска сотрудников к информации;
- регламентация порядка работы с конфиденциальными данными;
- проведение инструктажей и обучение персонала;
- аудит и контроль соблюдения требований безопасности;
- резервное копирование и восстановление данных;
- разграничение зон ответственности.
¶Технические меры
Техническая защита информации реализуется средствами:
- Криптографической защиты — шифрование данных при хранении и передаче (TLS/SSL, шифрование дисков BitLocker, LUKS, криптопровайдеры ГОСТ);
- Антивирусной защиты — детекция и блокирование вредоносного кода;
- Сетевой безопасности — межсетевые экраны (firewall), системы обнаружения и предотвращения вторжений (IDS/IPS), VPN для защищённого удалённого доступа;
- Контроля доступа — многофакторная аутентификация, управление привилегиями, протоколирование действий;
- Защиты от утечек (DLP) — системы контроля потоков данных, блокирующие несанкционированную передачу конфиденциальной информации;
- Физической защиты — сейфы, системы контроля доступа в помещения, видеонаблюдение.
¶Юридические меры
Юридическая защита включает регистрацию прав на информацию, заключение соглашений о неразглашении (NDA), привлечение к ответственности за нарушения (статья 13.11, 13.12, 272–274 УК РФ), лицензирование деятельности по защите информации.
¶Защита персональных данных
Отдельный блок требований связан с защитой персональных данных (ПДн). Операторы, обрабатывающие ПДн, обязаны:
- Получать согласие субъекта персональных данных.
- Определить уровень защищённости ПДн.
- Внедрить меры защиты согласно приказам ФСТЭК № 21 и № 23.
- Уведомить Роскомнадзор о начале обработки ПДн.
- Обеспечить локализацию баз данных персональных данных на территории РФ (ст. 18.1 закона 152-ФЗ).
¶Защита критической информационной инфраструктуры
С 2018 года в России действует система защиты объектов КИИ — крупных информационных систем, отказ которых угрожает безопасности государства и граждан. Операторы КИИ обязаны создавать центры обработки данных, обеспечивать резервирование, проводить оценку соответствия и уведомлять ФСТЭК об инцидентах.
¶Международный опыт
В международной практике для защиты информации применяются стандарты:
- ISO/IEC 27001 — система менеджмента информационной безопасности;
- ISO/IEC 27002 — свод практических мер;
- NIST Cybersecurity Framework — рамки кибербезопасности (США);
- GDPR — регламент по защите персональных данных (ЕС).
В России действует национальная система стандартизации (ГОСТ Р), гармонизированная с международными стандартами серии ISO/IEC 27000.
¶Системы сертификации
Средства защиты информации, используемые для обработки государственной тайны и персональных данных, подлежат обязательной сертификации в системе сертификации средств защиты информации (ССЗИ), проводимой ФСТЭК России. Сертификация подтверждает соответствие средств защиты установленным требованиям.
Источники:
- Федеральный закон «Об информации, информационных технологиях и о защите информации» № 149-ФЗ (2006)
- Федеральный закон «О безопасности критической информационной инфраструктуры» № 187-ФЗ (2017)
- Приказ ФСТЭК России № 21 от 18.02.2013
- Приказ ФСТЭК России № 23 от 11.02.2014
- ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения»
- Федеральный закон «О персональных данных» № 152-ФЗ (2006)