Тайна предприятия: что и как защищать

Для активных пользователей глобальных компьютерных сетей типа Internet, обменивающихся в них конфиденциальной информацией, необходимо также знать о наличии ограничений на перемещение с территории РФ документированной информации при предоставлении доступа пользователям, находящиеся за пределами территории РФ, к информационным системам, сетям, находящихся на территории РФ (СМ. Сноску 68).

Кроме того, деятельность по информационному обмену по электронным сетям, при котором возможна передача документированной конфиденциальной информации, подлежит государственному лицензированию.

Отдельного рассмотрения заслуживают вопросы обеспечения конфиденциальности финансовой информации, обращающейся в автоматизированных системах бухгалтерского учета и документооборота (БЭСТ, 1C и пр.). Такие системы в обязательном порядке должны иметь максимум возможностей, как программных, так и аппаратных, для обеспечения реализации:

- разграничения доступа по группам пользователей;

- разграничения доступа по глубине использования;

- шифрования особо конфиденциальной информации;

- антивирусной защиты;

- локализации ошибок;

- контроля работоспособности программных средств и других процессов обеспечения целостности и функциональности системы.

Разработчики подобных систем должны предоставлять пользователям при инсталляции программного обеспечения все сведения по перечисленным параметрам, а также давать возможность изменения внутренних кодов. Службам безопасности предприятий было бы нелишним привлекать квалифицированных специалистов для поиска в инсталлированном программном обеспечении различного рода программных закладок.

В целях обеспечения целостности и достоверности наиболее важных конфиденциальных финансовых сведений (документов в электронной форме представления), передаваемых и получаемых по каналам связи, целесообразно применять государственные стандарты, принятые Госстандартом России в сфере информационных технологий (например, ГОСТ Р 34.10-94 и ГОСТ Р 34.11-94), а также использовать сертифицированные средства криптографической защиты, реализующие алгоритмы шифрования в соответствии с ГОСТ 28147-89 и алгоритмы электронной цифровой подписи в соответствии с указанными выше ГОСТами.

Популярным интеллектуальным преступлением- в последнее время становится проникновение во внутренние локальные сети предприятий через сеть Internet (которые в большинстве своем построены именно на основе этой сети, а не на системах типа Intranet и т. п.), в том числе с целью получения финансовой конфиденциальной информации, не говоря уже о вмешательстве в

расчетные системы.

Основными способами проникновения являются:

- разрушающие программы и программные закладки в свободно распространяемом программном обеспечении или почтовых отправлениях;

- использование ошибок спецификаций или реализации отдельных программных продуктов, в том числе в HTML-страницах, связанных с использованием языков программирования Java и описания сценариев JavaScript;

- удаленное зондирование рабочего места пользователя сети Internet с целью выявления возможных путей проникновения, круга интересов, характера работы и других характеристик, в том числе с использованием недокументированных свойств программного обеспечения. В связи с высоким риском внедрения предполагается, что вся информация, программные средства обработки, находящиеся на персональной ЭВМ, подключенной к сети Internet, могут быть скомпрометированы.

С целью предотвращения противоправных действий такого рода не лишними будут следующие минимальные рекомендации:

- персональная ЭВМ, с которой осуществляется взаимодействие с сетью Internet, должна быть выделенной, т. е. не подключенной ни к какой внутренней сети:

- персональная ЭВМ не должна содержать никакой служебной информации (в том числе открытой);

- персональная ЭВМ, подключенная к сети Internet, не должна содержать накопитель на гибких магнитных дисках;

- данное рабочее место должно быть оснащено антивирусными программами и средствами контроля целостности программного обеспечения.

В УК РФ впервые были введены санкции за преступления в компьютерной информационной сфере. Уголовное законодательство считает неправомерными действия с компьютерной информацией. Это становится ясно из диспозиции приведенных статей УК.

Статья 272:

1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, - наказывается штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет.