Система функционирования информации в фирме предусматривает ее содержание, возможное использование и каналы движения в фирме и за ее пределами с учетом ответов на следующие вопросы:

— куда она может пойти?

— какая нужна информация?

— какие базы наблюдать?

— кто должен снабжать этой информацией?

— составные части информации;

— анализ информации;

— синтез;

— распределение информации;

— обратная связь, корректировка целей и потребностей.

Без хорошей оценки есть риск допустить ошибку. Поэтому первой и самой важной операцией является анализ. Эта операция состоит прежде всего в определении важности, точности и значимости информации.

Не всегда легко установить, является информация достоверной или ложной, если она содержит сведения о событиях, которые еще не произошли. Допускается два критерия, по которым можно судить о точности информации, надежности источника и самой информации. Главным критерием правдоподобия является поиск подтверждения по другим источникам, желательно по независимым. Если информация поступает от нового источника, необходимо прежде всего ответить на вопрос, позволяет ли положение лица, передающего сведения, иметь доступ к сообщаемым фактам.

При отсутствии надежности источника или информации не следует ее отбрасывать, если она производит впечатлен не важной. Ее необходимо отложить в ожидании новых элементов, позволяющих подтвердить ее или нет.

Синтез предусматривает соединение всех обрывков информации в единое целое. Поэтому о ценности любой информации можно и следует судить только после ее анализа с учетом уже ранее полученной информации по изучаемому вопросу.

Дезинформация — это пропаганда ложных новостей с целью навязывания ошибочного мнения в нужном вопросе. Информация — это продукция, она проходит длинный цикл — приобретение, обработка, распределение. За информацию часто платят информацией и она соединяется в неделимое целое. Информация имеет дополнительную ценность, когда она прямым или косвенным образом принимает участие в решении. «Информация — кровь предприятия» — гласит девиз Мицуи. Только при таких условиях фирма будет существовать и развиваться, избегая ложной информации или утечки нужной информации. Коль скоро информация оказывает влияние на принятие решения, удачно внедренная к конкурентам дезинформация может позволить фирме на определенном этапе получить возможность осуществлять свою деятельность в благоприятных условиях и с меньшими затратами для завоевания рынка сбыта своей продукции.

Дезинформация — это не пропаганда. В дезинформации содержится ложь по самой природе объекта, по тем или иным его качествам. Все это приводит к другому фундаментальному аспекту дезинформации: точка зрения адресата. Для него это сообщение должно быть получено как правдивая информация, а иначе маневр терпит неудачу и даже может нанести ущерб инициатору продвижения дезинформации. Адресата необходимо заранее настроить положительно по отношению к ложной информации. В ложной информации имеются две составляющие:

— сюжет, подпитывающийся определенным вниманием;

— сюжет ложный, который отвечает на это внимание, пропагандируя ложную информацию.

Все искусство лжи состоит из получения ответа, который немного должен быть близок к реальному для вероятности и в то же время должен содержать нечто отдаленное, чтобы ввести адресата в заблуждение. Часто информация получает свою надежность в силу того, что все ее повторяют, но никто не знает, откуда она взялась.

Первое правило: сохраняйте по отношению к информации хладнокровие. Вы должны контролировать ваши собственные интересы, чтобы не стать легкой добычей.

Второе правило: внимательно обрабатывайте информацию.

При засекречивании информации следует исходить из принципа экономической выгоды и безопасности фирмы. Объявляя ту или иную информацию коммерческой тайной, важно соблюсти «золотую середину». Чрезмерное засекречивание деятельности фирмы способно вызвать потерю прибылей. К этому также может привести и пренебрежительное отношение к коммерческой тайне. Все эти правила не используются при работе с информацией, являющейся государственной тайной и включенной в Свод секретной информации.

Информация «ноу-хау» относится к разряду коммерческих тайн, что порождает аспект охраны этих сведений от персонала самой фирмы, т. к. всегда существует опасность, что тот или иной сотрудник уволится и перейдет работать в конкурирующую фирму. При введении контрактной формы трудовых отношений фирма может включить в содержание контракта нераспространение информации, полученной сотрудником во время работы в фирме, в течение 1, 2, 3 и более лет. Для обеспечения выполнения этого условия фирма может выплачивать вознаграждение уволенному, что даст право фирме предъявить иск к виновному, если он разгласит коммерческую тайну или конфиденциальную информацию, нанеся таким образом материальный ущерб фирме.

Информация, которая подпадает под понятия рационализаторского предложения, изобретения и т. п., на стадии разработки и внедрения должна быть отнесена к коммерческой тайне. Принятие решения не подавать заявку на изобретение на патентоспособное техническое решение возможно только по договоренности с автором, которая выражается в письменном виде и подписывается обеими сторонами. Если работодатель в течение трех месяцев с даты уведомления его автором о созданном изобретении не подаст заявку на него и не согласует возможность задержки патентования с автором, автор вправе сам подать заявку и получить патент на свое имя.

Особое внимание должно уделяться охране договоров (контрактов), заключаемых фирмой. Охране подлежит не только текст договора, но и сам факт его заключения. Договоры (контракты) должны храниться у одного лица и выдаваться только под расписку с письменного разрешения руководителя фирмы. На лицо, ответственное за хранение договоров (контрактов) и работу с ними, возлагается персональная ответственность за утерю договоров (контрактов) или утечку информации из них. При подписании договора (контракта) представители сторон должны ставить подписи не только в конце договора (контракта), но и на каждом листе во избежание замены одного текста другим.

Организация защиты вычислительной техники диктует необходимость придерживаться следующих принципов обеспечения безопасности информации:

— простота защиты. Простые методы защиты, как привило, являются и наиболее надежными;

— открытость проектирования и функционирования средств безопасности. Эффективность защиты не должна зависеть от секретности разработки, т. к. это позволит быстрее выявить «узкие места» и не даст возможности злоумышленнику использовать их в своих интересах;

— минимизация привилегий по доступу к информации для всех, у кого нет необходимости ею обладать;

— независимость системы управления доступом от пользователей. Все лица, связанные с разработкой и функционированием защиты, не должны быть пользователями системы;

— установка ловушек для провоцирования несанкционированных действий, когда регистрируются все, кто попытается обойти систему защиты через специально оставленное «окно»;

— всеобщность применения средств разграничения доступа ко всему множеству контролируемых объектов и субъектов. Любое исключение из этого множества снижает безопасность;

— приемлемость защиты для пользователей, т. к. в противном случае будут предприниматься попытки ее обхода;

— устойчивость защиты по времени и при неблагоприятных обстоятельствах;

— подконтрольность системы защиты;

— особая личная ответственность лиц, обеспечивающих безопасность информации;

— глубина защиты, т. е. дублирование и перекрытие защиты;

— изоляция и разделение объектов защиты на группы таким образом, чтобы нарушение защиты для одной из групп не повлияло на безопасность других;

— минимизация общих механизмов защиты, что уменьшает возможность нарушения работоспособности всей системы защиты в результате выхода из строя такого общего механизма защиты, используемого различными пользователями;

— физическая защита, позволяющая предотвращать проникновение злоумышленника в те места, откуда возможны несанкционированные действия;

— запрещение доступа к информации в случае любого сбоя средства защиты, не предусмотренного разработчиками;

— надежность системы защиты: она должна быть полностью специфицирована, протестирована как по отдельным компонентам, так и в комплексе;

— гибкость и адаптивность системы защиты, в частности, невозможность целенаправленного изменения параметров системы со стороны администрации, что делает ее более эффективной;

— система защиты должна проектироваться в расчете на возможность несанкционированных действий;

— наиболее важные решения должны приниматься человеком, т. к. компьютерная система не может предусмотреть все возможные ситуации;

— существование средств контроля не должно бросаться в глаза и подлежит сокрытию от тех, к кому они применяются;

— разработка комплекса мер безопасности по каждому новому изделию, продукции еще на стадии начала их разработок в научно-исследовательских подразделениях.

Система защиты информации предусматривает два основных направления в области защиты информации: контроль доступа и засекречивание данных.

Служба контроля доступа направлена на нейтрализацию попыток несанкционированного использования любых ресурсов информационной системы. Контроль доступа должен осуществляться проверкой полномочий объектов по доступу к ресурсам информационной системы на основе идентификации и аутентификации.

Идентификация осуществляется на основе передачи открытого имени объекта. Аутентификация осуществляется на основе кодированной передачи контрольных параметров объекта и обеспечивается средствами криптообработки. На приемной стороне выполняется дешифрация криптосообщения на основе ключей, присваиваемых по его идентификатору, и сверка контрольных параметров объекта. При совпадении полученных контрольных параметров с известными принимается решение о прохождении контроля и соответствии объекта заявленному идентификатору. Весь процесс идентификации и аутентификации носит название авторизации.

Засекречивание данных (шифрование) направлено на их защиту от несанкционированного доступа модификации и навязывания ложной информации. Шифрование обеспечивается программными, аппаратными и аппаратно-программными средствами непосредственно на рабочих местах. Предпочтительно использовать стандартизованные алгоритмы шифрования.

Формы зашиты, используемые для систем на базе отдельного персонального компьютера, предусматривают:

— авторизацию пользователя, получающего доступ к данному персональному компьютеру (ПК);

— распознание прав доступа пользователя к ресурсам данного ПК;

— защиту программного обеспечения ПК от несанкционированных действий с ним;

— защиту данных, содержащихся на жестких и гибких носителях ПК, от несанкционированных действий;

— аудит доступа пользователя ПК к программам и данным.

Функции и возможности системы защиты компьютерной информации от несанкционированного доступа могут быть следующими:

— запрет загрузки ПК с жесткого диска неавторизированным пользователем;

— аппаратный метод — установка в ПК дополнительного аппаратного модуля;

— программный метод — процесс авторизации пользователя выполняется программным обеспечением системы защиты до загрузки операционной системы;

— запрет загрузки ПК с гибкого магнитного диска (ГМД) неавторизованным пользователям;

— аппаратный метод — выполняется блокировка возможности загрузки с дискеты при установленном модуле;

— программный метод — несанкционированная загрузка с дискеты приводит к «зависанию» ПК;

— обеспечение надежности авторизации пользователя:

а) идентификационная информация вводится с физического идентификатора и недоступна пользователю при модификации;

б) аутентификационная информация вводится с клавиатуры ПК непосредственно пользователем и доступна для изменения. В открытом виде идентификационная и аутентификационная информации не должны быть доступны даже администратору системы;

в) возможность установки авторизационных характеристик пользователя на нескольких ПК;

г) возможность использования одного ПК несколькими пользователями;

— количество уровней разграничения полномочий пользователя по доступу к ресурсам ПК;

— введение системных журналов;

— установка системной защиты сетевых элементов идентификации и аутентификации пользователя на основе ввода авторизационной информации с применением физического идентификатора;

— администрирование в системе;

— самоконтроль целостности системы;

— сохранность функций защиты при разрушении (удалении файлов) аппаратных модулей системы защиты;

— возможность восстановления системы защиты при ее частичном разрушении;

— помехоустойчивое кодирование информации;

— возможность постановки цифровой подписи на любой файл;

— возможность криптографического шифрования любого файла;

— блокировка работы клавиатуры с одновременным гашением экрана по «горячей» комбинации клавиш и/или по времени;

— «гостевой» режим доступа к ПК без предъявления информации авторизации с минимальным правом доступа к его ресурсам;

— возможность гарантированного стирания информации при удалении файлов.

Для защиты информации при ее передаче целесообразно обратиться к шифрованию: данные шифруются перед вводом в канал связи, а расшифровываются на выходе из него непосредственно тем, кому эта информация предназначена.

Примерный перечень мер безопасности предусматривает:

— информирование всех сотрудников фирмы об опасности и возможном ущербе в случае вирусных атак;

— не осуществление неофициальных связей с другими организациями по обмену (получению) программным обеспечением. Запрещение сотрудникам приносить программы «со стороны» для установки их в системах. Должны использования только официально распространяемые программы;

— запрещение сотрудникам использования и хранения компьютерных игр;

— предостережение сотрудников фирм от использования программ и дисков из вузов для выполнения домашних работ на ПК фирмы;

— если в процессе работы возникнет необходимость использовать сторонние информационные сети, то для этих целей целесообразно выделить специальное стендовое оборудование;

— создание архива копий программ и данных;

— регулярное просматривание «ранимых» в системе файлов и, по возможности, использование защиты «Только чтение» для предупреждения изменений в данных и копирования материалов;

— периодически проведение проверки контрольным суммированием или сравнением с «чистым» используемого программного обеспечения. По каждому факту проверки составляется акт с отражением результатов проверки;

— использование для электронной почты отдельного стендового компьютера или введение специального отчета. Запрещение использования программ, полученных через электронную почту;

— попытки получения по возможности исходных текстов программ и проведения компиляции на месте. Проявление особой осторожности, если исходный текст программы труден для понимания;

— установление системы защиты на особо важных II К. I Ірименепио специальных антивирусных средств;

— периодическое пересматривание правил обеспечения безопасности и определение возможности использования дополнительных мер защиты.

Необходимо разработать антивирусную программу действий, которую утвердить в виде Инструкции, с которой ознакомить всех сотрудников фирмы, имеющих доступ к работе на компьютерных сетях фирмы или имеющих специальную подготовку для такой работы.

В системах с единой схемой защиты для каждого файла необходимо создать список авторизованных пользователей. Применительно к каждому файлу указываются разрешаемые режимы его использования: чтение, запись или использование. В системах с программируемой схемой защиты следует предусмотреть ограничение календарного времени работы системы, доступ только к средним значениям файла данных, локальную защиту отдельных элементов массива данных. Учитывая высокую криптостойкость современных шифров, это даст возможность ликвидировать такие каналы утечки, как копирование информации, хищение носителей и несанкционированный доступ к секретной информации.

Безопасность данных может обеспечиваться, в случае признания необходимости, следующей дополнительной системой мероприятий:

— объекты данных идентифицируются и снабжаются информацией службы безопасности. Целесообразно эту информацию размещать не в отдельном каталоге, а вместе с информацией, имеющей метки;

— кодовые слова защиты размещаются внутри файла, что в значительной мере повышает эффективность защиты;

— доступ к данным целесообразен с помощью косвенных ссылок, например, списка пользователей, допущенных владельцем файла к размещенным в нем данным;

— данные и программы могут преобразовываться (кодироваться) внутренним способом для хранения;

— информация по отрицательным запросам не выдается;

— повторные попытки доступа после неудачных обращений должны иметь предел;

— при уменьшении конфигурации системы или при ее тестировании функции защиты сохраняются;

— никакие изменения таблиц безопасности, кроме изменения со специального устройства или пульта управления, не разрешаются.

В помещениях и на территориях фирмы вводится специальная система допуска сотрудников фирмы к своим рабочим местам во внерабочее время, а также в выходные и праздничные дни. Функционирование этой системы защиты определяется Инструкцией №_от «_»_20_года, утвержденной Генеральным директором фирмы.

Комплексная система защиты информации должна отвечать следующим требованиям:

— оперативно реагировать на изменение факторов, определяющих методы и средства защиты информации;

— базироваться на лучших алгоритмах закрытия информации, гарантирующих надежную криптографическую защиту;

— иметь важнейшие элементы идентификации пользователей и контроля подлинности передаваемой и хранимой информации;

— осуществлять защиту от несанкционированного доступа к информации в базах данных, файлах, на носителях информации, а также при передаче информации по линиям связи в локальных и глобальных сетях;

— обеспечивать режим специально защищенной электронной почты для обмена секретной информацией и информацией, содержащей коммерческую тайну, с высокой скоростью и достоверностью передачи информации адресату;

— иметь удобную и надежную ключевую систему, обеспечивающую гарантию безопасности при выработке и распределении ключей между пользователями;

— обеспечивать различные уровни доступа пользователей к защищаемой информации.

В уставе фирмы должно быть указано, что сведения, составляющие коммерческую тайну и конфиденциальную информацию, являются ее собственностью. В фирме должна быть проведена подготовка персонала в плане обучения исполнению своих обязанностей с одновременным выполнением требований по обеспечению защиты сведений, составляющих коммерческую тайну и конфиденциальную информацию, и предупреждения об ответственности за несоблюдение указанных требований.

Принимаемые меры противодействия с экономической точки зрения будут приемлемы, если эффективность защиты с ее помощью, выраженная через снижение вероятного экономического ущерба, превышает затраты на ее реализацию. Можно выбрать или определить максимально допустимые уровни риска в обеспечении сохранности информации и выбрать на этой основе одну или несколько экономически обоснованных мер противодействия, позволяющих снизить общий риск до такой степени, чтобы его величина была ниже максимально допустимого уровня.

Ввести обязательное правило аутентификации, т. е. проверки подлинности подписи и содержания, для всех документов, поступающих в фирму по различным информационным каналам, если этот документ определяет ответственность фирмы в связи с заключенными договорами (контрактами), другими финансовыми обязательствами. Особо следует обращать внимание при этом на сообщения о расторжении договоров, открытые документы, поступившие под электронной подписью. Необходимо предусматривать ситуацию, при которой личный код отправителя может быть у него украден, и злоумышленник может воспользоваться им от лица владельца, или сначала прислать фирме якобы верный открытый ключ, а потом присылать под него соответствующим образом подписанные сообщения.