Теоретические основы функционирования информационных систем в Таможенных органах

Документы верхнего уровня Политики информационной безопасности отражают позицию организации к деятельности в области защиты информации, её стремление соответствовать государственным, международным требованиям и стандартам в этой области. Область распространения документов верхнего уровня обычно не ограничивается, однако данные документы могут выпускаться и в двух редакциях - для внешнего и внутреннего использования.

К среднему уровню относят документы, касающиеся отдельных аспектов информационной безопасности. Это требования на создание и эксплуатацию средств защиты информации, организацию информационных и бизнес-процессов организации по конкретному направлению защиты информации. Все документы среднего уровня политики информационной безопасности конфиденциальны.

В политику информационной безопасности нижнего уровня входят регламенты работ, руководства по администрированию, инструкции по эксплуатации отдельных сервисов информационной безопасности.

Таможенные операции могут совершаться с использованием информационных систем и информационных технологий, в том числе основанных на электронных способах передачи информации, а также средств их обеспечения.

Внедрение информационных систем и информационных технологий осуществляется с учетом соответствующих международных стандартов и обеспечения требований информационной безопасности, установленных законодательством государств - членов таможенного союза. Таможенными органами применяются информационные системы, информационные технологии и средства их обеспечения, разрабатываемые, производимые или приобретаемые таможенными органами в соответствии с законодательством и (или) международными договорами государств-членов таможенного союза.

Условия и порядок использования для таможенных целей информационных систем, информационных технологий, средств их обеспечения и программных технических средств защиты информации, а также требования к ним при организации информационного взаимодействия, основанного на электронных способах обмена информации, определяются таможенным законодательством таможенного союза и законодательством государств - членов таможенного союза.

Для целей обеспечения взаимодействия таможенных органов на таможенной территории таможенного союза создаются интегрированные информационные системы и информационные технологии.

Защита информации и прав субъектов, участвующих в информационных процессах и информатизации, осуществляется в порядке, установленном законодательством государств - членов таможенного союза.

Уровень защиты информации, обеспечиваемый программным техническим средством защиты информации, должен соответствовать категории информации. Соответствие уровня защиты информации определенной категории обеспечивается таможенными органами, в ведении которых находятся информационные ресурсы.

Обмен информацией между таможенными органами осуществляется в соответствии с международными договорами государств - членов таможенного союза.

Таможенные органы участвуют в международном информационном обмене с таможенными органами иностранных государств, а также международными и иными организациями в порядке и на условиях, определяемых законодательством государств-членов таможенного союза [11].

Защита информации - это комплекс правовых, организационных и технических мер, направленных на обеспечение целостности (неизменности), конфиденциальности, доступности и сохранности информации.

Законом об информации определены цели, требования, меры по защите информации, лица, ответственные за организацию защиты информации.

Защите подлежит информация, неправомерные действия в отношении которой могут причинить вред ее обладателю, пользователю или иному лицу.

Законом об информации отдельно закреплены особенности порядка принятия мер по защите персональных данных от разглашения. Так, например, такие меры должны быть приняты с момента, когда персональные данные были предоставлены физическим лицом, к которому они относятся, другому лицу либо когда предоставление персональных данных осуществляется в соответствии с законодательными актами Республики Беларусь. Последующая передача персональных данных разрешается только с согласия физического лица, к которому они относятся, либо в соответствии с законодательными актами Республики Беларусь. Кроме того, определено, что вышеназванные меры должны приниматься до уничтожения персональных данных, либо до их обезличивания, либо до получения согласия физического лица, к которому эти данные относятся, на их разглашение [12].

Целями защиты информации являются:

обеспечение национальной безопасности, суверенитета Республики Беларусь;

сохранение информации о частной жизни физических лиц и неразглашение персональных данных, содержащихся в информационных системах;

обеспечение прав субъектов информационных отношений при создании, использовании и эксплуатации информационных систем и информационных сетей, использовании информационных технологий, а также формировании и использовании информационных ресурсов;

недопущение неправомерного доступа, уничтожения, модификации (изменения), копирования, распространения и (или) предоставления информации, а также иных неправомерных действий.

Защите подлежит информация, неправомерные действия в отношении которой могут причинять вред ее обладателю, пользователю или иному лицу.

Требования по защите общедоступной информации могут устанавливаться только в целях недопущения ее уничтожения, модификации (изменения), блокирования правомерного доступа к ней.

К правовым мерам по защите информации относятся заключаемые обладателем информации с пользователем информации договоры, в которых упорядочиваются условия пользования информацией, а также ответственность сторон по договору за нарушение указанных условий.

К организационным мерам по защите информации относятся обеспечение особого режима допуска на территории (в помещения), где может быть осуществлен доступ к информации (материальным носителям информации), а также разграничение доступа к информации по кругу лиц и характеру информации.

К техническим (программно - техническим) мерам по защите информации относятся меры по использованию средств защиты информации, в том числе криптографических, а также систем контроля доступа и регистрации фактов доступа к информации.

Государственные органы и юридические лица, осуществляющие обработку информации, распространение и (или) предоставление которой ограничено, определяют соответствующие структурные подразделения или должностных лиц, ответственных за обеспечение защиты информации.

Защита информации организуется:

в отношении общедоступной информации - лицом, осуществляющим распространение и (или) предоставление такой информации;

в отношении информации, распространение и (или) предоставлению которой ограничено, собственником или оператором информационной системы, содержащей такую информацию, либо обладателем информации, если такая информация не содержится в информационных системах.

иными лицами в случаях, определенных законодательными актами Республики Беларусь(В соответствии со статьей 318 Таможенного Кодекса Республики Беларусь «О взаимодействии таможенных органов с иными государственными органами»).

Ответственность за совершение административных правонарушений в области информации предусмотрена глава 22 Кодекса Республики Беларусь об административных правонарушениях; ответственность за совершение преступлений против информационной безопасности предусмотрена глава 31 Уголовного кодекса Республики Беларусь.

Концепция информационной безопасности таможенных органов Республики Беларусь утверждена решением Коллегии Государственного таможенного комитета Республики Беларусь от 22 декабря 2006 г.

Концепция определяет систему взглядов на проблему обеспечения информационной безопасности в автоматизированных информационных системах, составляющих Единую автоматизированную информационную систему таможенных органов Республики Беларусь, а также в таможенных органах ТС.

Концепция представляет собой систематизированное изложение целей и задач защиты, основных принципов построения, организационных, технологических аспектов обеспечения информационной безопасности таможенных органов.

Концепция учитывает современное состояние и ближайшие перспективы развития информационных таможенных технологий, цели, задачи и правовые основы их создания, эксплуатации и режимы функционирования, а так же результаты анализа угроз безопасности для информационных ресурсов таможенных органов [13].

Основные положения и требования Концепции распространяются на все структурные подразделения таможенных органов Республики Беларусь, в которых осуществляется автоматизированная обработка информации, а также на подразделения, осуществляющие сопровождение, обслуживание и обеспечение нормального функционирования ЕАИС.

Концепция является методологической основой для:

формирования и проведения единой политики в области обеспечения безопасности информации в ЕАИС;

принятия управленческих решений и разработки практических мер по воплощению политики безопасности информации и выработки комплекса согласованных мер нормативно - правового, технологического и организационно-технического характера, направленных на выявление, отражение и ликвидацию последствий реализации различных видов угроз безопасности информации;

координации деятельности структурных подразделений при проведении работ по созданию, развитию и эксплуатации ЕАИС с соблюдением требовании обеспечения безопасности информации;

разработки предложений по совершенствованию правового, нормативного, методического, технического и организационного обеспечения безопасности информации ЕАИС.

Концепция не регламентирует вопросы организации охраны помещений и обеспечения сохранности и физической целостности компонентов ЕАИС, защиты от стихийных бедствий, сбоев в системе энергоснабжения, а также меры по обеспечению личной безопасности должностных лиц. Однако предполагает построение системы информационной безопасности на тех же концептуальных основах, что и система безопасности таможенных органов Республики Беларусь в целом (имущественная, физическая и т.д.). Это позволяет не только принципиально, но и практически сопрягать их, оптимизируя затраты на построение такой системы.

Объектами защиты в системе обеспечения информационной безопасности таможенных органов Республики Беларусь являются:

информационные ресурсы с ограниченным доступом составляющие коммерческую, банковскую тайну, иные чувствительные по отношению к случайным и несанкционированным воздействиям и нарушению их безопасности информационные ресурсы, в том числе открытая (общедоступная) информация, представленные в виде документов и массивов информации, независимо от формы и вида их представления;

процессы обработки информации в ЕАИС - информационные технологии, регламенты и процедуры сбора, обработки, хранения и передачи информации, научно - технический персонал разработчиков и пользователей системы и ее обслуживающий персонал;

информационная инфраструктура, включающая системы обработки и анализа информации, технические и программные средства ее обработки, передачи и отображения, в том числе каналы информационного обмена и телекоммуникации, системы и средства защиты информации, объекты и помещения, в которых размещены чувствительные компоненты ЕАИС;

собственно ЕАИС таможенных органов как объект информатизации.

Для достижения целей защиты информации, обеспечения информационной безопасности и противодействию угрозам система защиты и безопасности ЕАИС должна обеспечивать эффективное решение следующих задач:

защита от вмешательства в процесс функционирования ЕАИС посторонних лиц (возможность использования автоматизированной системы и доступ к ее ресурсам только зарегистрированных в установленном порядке пользователей - сотрудников структурных подразделений таможенных органов Республики Беларусь);

разграничение доступа зарегистрированных пользователей к аппаратным, программным и информационным ресурсам ЕАИС таможенных органов Республики Беларусь (возможность доступа только к тем ресурсам и выполнения только тех операций с ними, которые необходимы конкретным пользователям ЕАИС для выполнения своих служебных обязанностей), т.е. защита правомерного доступа к:

- информации, циркулирующей в АС

- средствам вычислительной техники  АС

- аппаратным, программным и криптографическим  средствам защиты, используемым  в ЕАИС;

регистрация действий пользователей при использовании защищаемых ресурсов ЕАИС таможенных органов Республики Беларусь в системных журналах и периодический контроль корректности действий пользователей системы путем анализа содержимого этих журналов специалистами подразделений безопасности;

контроль целостности (обеспечение неизменности) среды исполнения программ и ее восстановление в случае нарушения;

защита от несанкционированной модификации и контроль целостности используемых в ЕАИС таможенных органов Республики Беларусь программных средств, а также защиту системы от внедрения несанкционированных программ, включая компьютерные вирусы;

защита информации ограниченного распространения от утечки по техническим каналам при ее обработке, хранении и передаче по каналам связи;

защита информации ограниченного распространения, хранимой, обрабатываемой и передаваемой по каналам связи, от несанкционированного разглашения или искажения;

обеспечение аутентификации пользователей, участвующих в информационном обмене (подтверждение подлинности отправителя и получателя информации);

обеспечение живучести криптографических средств защиты информации при компрометации части ключевой системы;