Персональные данные и методы их защиты

Персональные компьютеры, системы управления и сети на их основе быстро входят во все области человеческой деятельности. Среди них можно выделить такие сферы применения, как военная, коммерческая, банковская, посредническая, научные исследования по высоким технологиям и др. Очевидно, широко используя компьютеры и сети для обработки и передачи информации, эти отрасли должны быть надежно защищены от возможности доступа к ней посторонних лиц, её утраты или искажения. Согласно статистическим данным, более 80% компаний несут финансовые убытки из-за нарушения целостности и конфиденциальности используемых данных.

Кроме информации, составляющей государственную или коммерческую тайну, существует информация, представляющая собой интеллектуальную собственность. К ней можно отнести результаты научных исследований, программы, обеспечивающие функционирование компьютера, игровые программы, оригинальные аудио- и видеоклипы, которые защищаются законами, принятыми в большинстве стран мирового сообщества. Стоимость такой информации в мире составляет несколько триллионов долларов в год. Ее несанкционированное копирование снижает доходы компаний и авторов, занятых ее разработкой. В повседневной жизни человека сохранность информации об его жизни зависит от него самого. Но совсем другая ситуация, когда мы обязаны предоставить данные о себе в соответствии с законом третьему лицу, а конкретно – работодателю. Работник в данной ситуации передает конфиденциальную информацию о себе на ответственное хранение. Далее за сохранность данных отвечает уже работодатель. Он обязан оберегать сведения о работнике от посягательств третьих лиц и нести ответственность за распространение указанных данных.

Усложнение методов и средств организации машинной обработки, повсеместное использование глобальной сети Интернет приводит к тому, что информация становится более уязвимой. Этому способствуют такие факторы, как постоянно возрастающие объемы обрабатываемых данных, накопление и хранение данных в ограниченных местах, постоянное расширение круга пользователей, имеющих доступ к ресурсам, программам и данным, недостаточный уровень защиты аппаратных и программных средств компьютеров и коммуникационных систем и т.п. Учитывая эти факты, защита информации в процессе ее сбора, хранения, обработки и передачи приобретает исключительно важное значение.

Поэтому цель данной работы: наиболее детально рассмотреть вопросы информационной безопасности, изучить способы и средства нарушения конфиденциальности информации, а также методы ее защиты.

Анализ угрозы информационной безопасности

Эффективность любой информационной системы в значительной мере определяется состоянием защищенности (безопасностью) перерабатываемой в ней информации.

Безопасность информации – состояние защищенности информации при ее получении, обработке, хранении, передаче и использовании от различного вида угроз.

Для успешного противодействия угрозам и атакам информационных систем, а также выбора способов и средств защиты, политики безопасности и анализа рисков от возможного несанкционированного доступа необходимо классифицировать существующие угрозы информационной безопасности. Каждый признак классификации должен отражать одно из обобщенных требований к системе защиты, а сами угрозы позволяют детализировать эти требования. Современные компьютерные системы и сети являются сложными системами, подверженными, кроме того, влиянию чрезвычайно большого числа факторов и поэтому формализовать задачу описания полного множества угроз не представляется возможным. Как следствие, для защищенной компьютерной системы определяется не полный перечень угроз, а перечень классов угроз, которым должен противостоять комплекс средств защиты.

Классификация угроз может быть проведена по ряду базовых признаков:

1. По природе возникновения: объективные природные явления, не зависящие от человека; субъективные действия, вызванные деятельностью человека.

2. По степени преднамеренности: ошибки конечного пользователя или персонала; преднамеренного действия, для получения несанкционированного доступа к информации.

3. По степени зависимости от активности Информационных систем: проявляющиеся независимо от активности информационных систем (вскрытие шифров, хищение носителей информации); проявляющиеся в процессе обработки данных (внедрение вирусов, сбор «мусора» в памяти, сохранение и анализ работы клавиатуры и устройств отображения).

4. По степени воздействия на информационные системы: пассивные угрозы (сбор данных путем выведывания или подсматривания за работой пользователей); активные угрозы ; внедрение программных или аппаратных закладок и вирусов для модификации информации или дезорганизации работы информационной системы).

5. По способу доступа к ресурсам информационных систем: получение паролей и прав доступа, используя халатность владельцев и персонала, несанкционированное использование терминалов пользователей, физического сетевого адреса, аппаратного блока кодирования и др.; обход средств защиты, путем загрузки посторонней операционной защиты со сменного носителя; использование недокументированных возможностей операционной системы.

6. По текущему месту расположения информации в информационной системе: внешние запоминающие устройства; оперативная память; сети связи; монитор или другое отображающее устройство (возможность скрытой съемки работы принтеров, графопостроителей, световых панелей и т.д.).

Необходимо отметить, что абсолютно надежных систем защиты не существует. Кроме того, любая система защиты увеличивает время доступа к информации, поэтому построение защищенных информационных систем не ставит целью надежно защититься от всех классов угроз. Уровень системы защиты – это компромисс между понесенными убытками от потери конфиденциальности информации, с одной стороны, и убытками от усложнения, удорожания информационной системы и увеличения времени доступа к ресурсам от введения систем защиты, с другой стороны.

Основные методы защиты информации.

Проблема обеспечения (повышения) достоверности информации при ее обработке в автоматизированных системах заключается главным образом в контроле правильности информационных массивов, обнаружении ошибок и их исправлении на различных этапах обработки информации. Исследование проблемы обеспечения достоверности информации в автоматизированных системах осуществляется на трех уровнях:

- Синтаксическом (связан с контролем и защитой элементарных составляющих информационных массивов – знаков или символов);

- Семантическом (связан с обеспечением достоверности смыслового значения информационных массивов, их логичности, непротиворечивости и согласованности);

- Прагматическом (связан с изучением вопросов ценности информации при принятии управленческих решений, ее доступности и своевременности, влияния ошибок на качество и эффективность функционирования автоматизированных систем).

Ошибки, возникающие в процессе обработки информации, связаны с помехами, сбоями и отказами технических и программных средств, ошибками пользователей и обслуживающего персонала, недостаточной точностью или ошибками в исходных, промежуточных и выходных данных, неадекватностью реализованных математических моделей реальным процессам.

Для достижения требуемой или максимальной достоверности обработки информации в автоматизированных системах используются специальные методы, основанные на введении в структуры обработки информационных массивов информационной, временной или структурной избыточности.

Информационная избыточность характеризуется введением дополнительных разрядов в используемые информационные массивы и дополнительных операций в процедуры переработки информационных массивов, имеющих математическую или логическую связь с алгоритмом переработки, обеспечивающих выявление и исправление ошибок определенного типа.

Временная избыточность связана с возможностью неоднократного повторения определенного контролируемого этапа обработки информации. Структурная избыточность характеризуется введением в состав автоматизированных систем дополнительных элементов. По виду реализации известные методы обеспечения достоверности обрабатываемой информации в автоматизированных системах можно разделить на две основные группы: организационные (системные и административные) и аппаратно-программные.

Надежность автоматизированных систем – свойство автоматизированных систем выполнять функции, сохраняя во времени значения установленных эксплуатационных показателей в заданных пределах, соответствующих данным режимам и условиям использования, технического обслуживания, ремонта, хранения и транспортирования.

Надежность комплекса аппаратных средств определяется в основном случайными сбоями и отказами, а надежность комплекса программных средств – наличием систематических ошибок, допущенных при его разработке.

Для обеспечения достоверности в автоматизированных системах используются общие типовые методы обеспечения надежности аппаратуры, целью которых служит поддержание характеристик аппаратных средств автоматизированных систем в заданных пределах. Надежность технических (аппаратных) средств достигается на этапах разработки, производства и эксплуатации.

Для программных средств рассматривают два этапа – этап разработки и этап эксплуатации. Этап разработки программных средств является определяющим при создании надежных компьютерных систем. На этапе эксплуатации программные средства дорабатываются, в них устраняются замеченные ошибки, поддерживается целостность программных средств и актуальность данных, используемых этими средствами.

Аппаратно-программные методы повышения достоверности перерабатываемой в автоматизированных системах информации представляют собой совокупность методов контроля и выявления ошибок в исходных и получаемых информационных массивах, их локализации и исправления.

При эксплуатации автоматизированных систем существует возможность разрушения информационных массивов, которое приводит к появлению ошибок в результатах, невозможности решения некоторых функциональных задач или к полному отказу автоматизированных систем. Основными причинами нарушения целостности и готовности информационных массивов в процессе их непосредственного использования или хранения на носителях являются ошибки и преднамеренные действия операторов и обслуживающего персонала, деструктивные действия компьютерных вирусов, агрессивность внешней среды (температура, влажность и др.), износ носителей информации, приводящие к разрушению информационных массивов или их носителей.

Проблема обеспечения целостности и готовности информации при эксплуатации автоматизированных систем заключается в разграничении доступа к информационным массивам и программно-техническим ресурсам, контроле правильности информационных массивов, обнаружении ошибок, резервировании и восстановлении информационных массивов во внутримашинной информационной базе по зарезервированным информационным массивам. Методы повышения сохранности информации в автоматизированных системах в зависимости от вида их реализации можно разделить на организационные и аппаратно-программные.

I. Организационные методы повышения сохранности состоят в создании и использовании рациональной технологии эксплуатации информационных массивов, предусматривающей профилактические меры по снижению доли искажений информационных массивов до определенного допустимого уровня и по обеспечению своевременного предоставления необходимых аутентичных информационных массивов для автоматизированного решения задач автоматизированных систем. Основными из них являются:

1) учет и хранение информационных массивов в базах данных автоматизированных систем;

2) контроль за качеством работы операторов и обслуживающего персонала;

3) контроль износа и старения технических средств, функционирования автоматических систем, а также правильности их эксплуатации;

4) профотбор, обучение и стимулирование персонала автоматизированных систем;

5) организация труда персонала автоматизированных систем, обеспечивающая уменьшение возможностей нарушения им требований сохранности информационных массивов;

6) обеспечение противопожарной защиты и температурно-влажностного режима.

II. Аппаратно-программными методами повышения сохранности информации являются:

1) резервирование информации (обеспечивает защиту информации, как от случайных угроз, так и от преднамеренных воздействий):

- оперативное резервирование – создание и хранение резервных рабочих копий информационных массивов, используемых для решения функциональных задач автоматизированных систем в реальном масштабе времени;

- восстановительное резервирование – создание и хранение дополнительных копий информационных массивов, используемых только для восстановления разрушенных рабочих копий информационных массивов;

- долговременное резервирование – создание, длительное хранение и обслуживание архивов оригиналов, дубликатов и резервных копий информационных массивов.

2) контроль, обнаружение и исправление ошибок информационных массивов (реализуются как в аппаратном варианте, так и в виде программных модулей):

- получение контрольных сумм – сумма всех символов, полученная циклическим сложением после обновления информационных массивов;

- использование контрольных чисел – цифра, связанная с символами информационных массивов некоторым соотношением;

- использование избыточных кодов – позволяют выявлять и автоматически исправлять имеющиеся в информационных массивах ошибки;

- программная проверка по четности – обеспечивает более качественный контроль по сравнению со схемной проверкой четности;

- контроль верности входных информационных массивов – контроль допустимого диапазона изменения некоторого показателя.

3) контроль верности входных данных и защита от вирусов:

- обнаружение вирусов в автоматизированных системах (сканирование, обнаружение изменений, эвристический анализ, вакцинация программ, аппаратно-программная защита от вирусов);

- блокирование работы программ-вирусов

- устранение последствий воздействия вирусов.

Для решения данных задач используются специальные антивирусные средства.

4) блокировка ошибочных операций (действий) – использует технические и аппаратно-программные средства. Технические средства применяются в основном для предотвращения ошибочных действий людей (блокировочные тумблеры, защитные экраны и ограждения, предохранители, средства блокировки записей на магнитные ленты, дискеты и т.п.). Аппаратно-программные средства позволяют, например, блокировать вычислительный процесс при нарушениях программами адресных пространств оперативной памяти.

Все эти методы позволяют повысить достоверность информации и сохранить целостность и готовность информационных массивов в процессе их непосредственного использования или хранения на носителях.

Заключение.

Таким образом, рассмотрев способы и средства нарушения конфиденциальности информации в области персональных данных, а также методы ее защиты в информационных системах, можно сделать следующие выводы.

Личная тайна работника или любого другого человека охраняется законом на самом высшем уровне. Необходимо учесть, что основная причина правонарушений в данных вопросах – это неграмотность работников отделов кадров. На очень многих предприятиях нет конкретных правил хранения персональных данных. Рострудинспекция при проведении проверок все же требует веские доказательства сохранности данных сведений.

Необходимо выделить, что существуют законы, в которых предусмотрены наказания за нарушения в вопросах охраны персональных данных работника. Но все-таки в этих законах прописаны санкции, которые восстанавливают справедливость, но не снижают количество правонарушений.

Большое значение имеет то, как руководитель каждого предприятия относится к правам своих работников. Так как только администрация предприятия или организации может и должна контролировать соблюдение порядка по хранению и защите персональных данных своих работников.