Управление знаниями
верх

Лекция 1. «Процесс управления знаниями»

Управление знаниями: принципы, методы, эффективность

Карл Вииг, известный американский специалист по искусственному интеллекту, своей трилогией положил начало научным публикациям по управлению знаниями[Wiig, 1993; 1994; 1995]. За этим последовали десятки и сотни работ - книг, статей, отчетов, представлявших результаты научных исследований по данной проблеме и многообразные практические рекомендации. Среди наиболее заметных и интересных работ обращают на себя особое внимание исследования, проведенные Л.Прусаком и Т.Давенпортом [Prusak, 1995; Davenport, Prusak, 2000], И.Нонакой и Х.Такеуши [Nonaka, Takeuchi, 1995], Д.Стаплтоном [Stapleton, 2003], Ч.Деспресом и Д.Чавелом [Despres, Chauvel, 2000], У.Буковичем и Р.Уилльямс [Bukowitz, Williams, 1999], Т.Стюартом [Stewart, 1997]. В разных странах созданы и развернули активную деятельность общества, ассоциации, институты по проблемам нематериальных ресурсов и управления знаниями, издаются журналы, проводятся обширные обследования, обобщается уже накапливаемый опыт. Проводятся исследования и в российских научных центрах. С каждым днем появляется все больше информации о разрабатываемых и реализуемых программах формирования и практического использования систем управления знаниями в корпоративном управлении. Имеются основания полагать, что к настоящему времени уже сложились вполне определенные представления об общих и прикладных аспектах проблемы управления знаниями в современных организациях и в ближайшей перспективе.

Знания как ресурс и объект управления

Можно говорить о двух наиболее распространенных определениях знаний. Одно из них довольно специфично и практично, другое - общего характера. В первом случае утверждается, что знания представляют собой практическую информацию, которая активно управляет процессами выполнения задач, решения проблем и принятия решений. При этом управлять знаниями - значит систематически, точно и продуманно формировать, обновлять и применять их с целью максимизации эффективности предприятия и прибыли от активов, основанных на знаниях. Наряду с этим можно утверждать, что знания представляют собой любое слово, факт, пример, событие, правило, гипотезу или модель, которые усиливают понимание или исполнение в определенной области деятельности или дисциплины. Применительно к этому управление знаниями означает формализацию и доступ к практическому опыту, знаниям и экспертным данным, которые создают новые возможности, способствующие совершенствованию деятельности, стимулирующие инновации и увеличивающие потребительскую стоимость.

Знания представляют собой то, что многие организации все в большей степени производят, продают и приобретают. Предприятиям приходится решать такие сложные задачи, которые заставляют их развивать передовые знания и максимально эффективно использовать их. Несмотря на то что точный денежный эквивалент стоимости знаний в организации не может быть рассчитан, существуют некоторые критерии измерения их экономического значения. Разница между рыночной стоимостью компании и стоимостью ее материальных активов является одним из показателей стоимости нематериальных активов, большинство из которых представляют собой одну из форм организационных знаний. Имеются данные о том, что только от $6$ до $30\%$ стоимости компании приходится на активы, упоминаемые в традиционных балансовых отчетах; остальное - нематериальные активы. Вследствие этого 50% инвестиций производственных компаний приходится на нематериальные сферы, такие как научные исследования и разработки, обучение, профессиональный опыт и др. [Fuler, 2002]. Управление знаниями имеет две основные задачи. Одна - это эффективность, использование знаний для роста производительности путем увеличения быстродействия или снижения затрат. Другая - инновации, создание новых продуктов и услуг, новых предприятий и новых бизнес-процессов

Рис. 1. Знание, обучение и базовая компетенция организации.

"Незримое" достояние - это интеллектуальные активы, способные приносить и приносящие компаниям реальные дивиденды. Речь идет о патентах и авторских правах, знаниях и профессиональных качествах сотрудников, торговых марках, клиентской базе, сети лояльных поставщиков и партнеров, культуре реализации нововведений, корпоративной памяти и базах данных, качестве рабочих процессов и т.п. Важно стремиться к формированию такого подхода к управлению знаниями, который соотносит, уравновешивает и интегрирует организационные, человеческие и технологические компоненты знаний. Взаимосвязь знаний, обучения и ключевой компетенции организации представлена на рис.1, где сделана попытка показать, как на знаниях базируются все хозяйственные и управленческие отношения, выявляются предпочтения хозяйствующих субъектов, происходит обмен и поставляется информация на рынки. Существенное расширение доступа к знаниям, ставшее возможным благодаря современным информационным технологиям, меняет саму природу отношений между специалистом и непрофессионалом, между организацией и работником, между источником и получателем благ. Знания исключают статичность и однонаправленность, поскольку создают основу для непрерывного поступательного движения под и на динамично-меняющейся сети с участием как создателей, так и пользователей информации. В свете расширения и использования знаний распространение получает концепция и практика непрерывного образования как комплекс мер дающий возможность человеку учиться на протяжении всей жизни по принципу "ценно любое образование, в любом месте, в любое время и любого содержания". Выдвигается требование по распределению образовательных ресурсов индивида в течение всей его жизни, а не их концентрация в строго определенный период. Это предполагает формирование системы непрерывного образования с учетом самообучения при консультационно-методической поддержке (организация сети открытых университетов, дистанционного обучения и др.).

Функция управления знаниями

Для того чтобы постоянно сокращать дефицит знаний, организации должны решать такие важнейшие задачи, как:

• приобретение знаний - использование уже имеющихся в мире знаний и их приспособление для нужд организации (например, при помощи режима открытой торговли, привлечения иностранных инвестиций и заключения лицензионных соглашений), а также получение новых знаний путем ведения научно-исследовательских и опытно-конструкторских работ;
• усвоение знаний (например, обеспечение всеобщего начального образования, создание возможностей для обучения на протяжении жизни и развитие системы высшего образования);
• передача знаний - использование новых информационных и телекоммуникационных технологий, соответствующее нормативно-правовое регулирование и обеспечение доступа к информационным ресурсам.

В условиях революционных изменений в производственных и информационных технологиях формируется новая функция управления, в задачу которой входит аккумулирование интеллектуального капитала, выявление и распространение имеющейся информации и опыта, создание предпосылок для распространения и передачи знаний. Использование интеллектуального капитала и связанная с этим профессиональная компетенция кадров обеспечивают выживание и экономический успех компаний. Именно знания становятся источником высокой производительности, инноваций и конкурентных преимуществ. В конкретном приложении управление знаниями как функция и как вид управленческой деятельности охватывает:

• практику придания дополнительной ценности имеющейся информации путем выявления, отбора, синтеза, обобщения, хранения и распространения знаний;
• придание знаниям потребительского характера таким образом, чтобы они представляли собой необходимую и доступную для пользователя информацию;
• создание интерактивного обучающего окружения, где люди постоянно обмениваются информацией и используют все условия для усвоения новых знаний.

Функция управления знаниями охватывает использование различных методов в зависимости от особенностей того или иного этапа организации приобретения и освоения новых знаний. В литературе рассматриваются различные подходы к подразделению данного процесса на этапы с разной степенью детализации [Davenport, Prusak, 2000]. В табл. 1 приводится вариант, учитывающий как имеющиеся предложения, так и реальные цели и потребности выявления и использования необходимых знаний.

Таблица 1. Этапы управления знаниями

Источник: таблица составлена на основе этапов, приведенных в [Liebowitz, Beckman, 1998].

На этапе "Определить" необходимо установить, какие основные знания имеют решающее значение для успеха и в связи c этим - каков уровень компетенции работников в каждой области знаний. Создаются обучающие программы и системы обеспечения. Переходя к этапу "Собрать", необходимо приобретать существующие знания, опыт, методы и квалификацию, необходимые для создания доменов выбранных базовых знаний. На этапе "Выбрать" рассматривается постоянный поток собранных, упорядоченных знаний и оценивается их полезность. Должна быть определена единая структура как основа организации и классификации знаний, предназначенных для хранения в базе. Этап "Хранить" выделяется для того, чтобы отобранные знания классифицировались и вносились в корпоративную память. Сюда относятся знания о продукции, производственных процессах, клиентах, потребностях рынка, финансовых результатах, приобретенном опыте, стратегических планах и целях и др. Профессиональный интеллект организации должен быть также частью этой памяти. В этой связи к профессиональным знаниям следовало бы отнести:

• познавательные знания ("знаю, что"): мастерское владение базовой дисциплиной, достигаемое профессионалами путем интенсивного обучения и сертифицирования;
• прикладное мастерство ("знаю, как"): переводит "книжное обучение" в эффективное исполнение. Способность применять правила, относящиеся к определенной дисциплине, для решения сложных реальных проблем. Это наиболее распространенный уровень профессионализма, создающий ценности;
• системное понимание ("знаю, почему"): глубокое знание всей системы взаимоотношений, причин и следствий, лежащих в основе определенной дисциплины;
• личная мотивация творчества ("хочу знать, почему") охватывает волю, мотивацию и настроенность на успех.

Организации, воспитывающие в своих сотрудниках стремление к знанию ("хочу знать, почему"), преуспевают перед лицом быстро текущих изменений и обновляют свои познавательные знания, прикладное мастерство и понимание систем, с тем чтобы конкурировать на рынках продуктов и услуг. Развивая корпоративную память внутри организации, можно облегчить обмен знаниями, так как новшества, реализуемые в одном подразделении организации, становятся доступными другим отделам, если они сохраняются в памяти организации. Такая корпоративная память существует в трех разных формах: в человеческой памяти, на бумаге и в электронном виде. На этапе "Распределить" знания извлекаются из корпоративной памяти и становятся доступными для использования. В пределах же этапа "Применить" находятся и применяются необходимые знания при осуществлении заданий, решении проблем, принятии решений, поиске идей и обучении. Интегрированные системы "обеспечения деятельности" применяются во многих ведущих компаниях для существенного увеличения работоспособности и возможностей работающих со знанием. На этапе "Создать" выявляются новые знания с помощью многих средств, таких как наблюдение за клиентами, обратная связь от потребителя и ее анализ, причинный анализ, эталонное тестирование, лучшие практические примеры, опыт, полученный при модернизации бизнес-процессов и проектов по рационализации технологического процесса, исследования, экспериментирование, креативное мышление, автоматизированное получение знаний и разработка данных. Последний этап - это "Продать". В его рамках на основе интеллектуального капитала создаются новые продукты и услуги, которые могут быть реализованы вне предприятия. Прежде чем этот этап становится возможным, другие этапы должны достичь определенной фазы зрелости. Согласно Бекмэну [Beckman, 1998], ниже следует краткий перечень наиболее существенных свойств, на которые следует ориентироваться при выполнении работ каждого этапа: высокая эффективность, нацеленность на потребителя, усовершенствования и высшее качество, высокая гибкость и адаптация, высокий уровень профессионального опыта и знаний, высокая скорость обучения и инноваций, наличие инновационной системы на основе информационных технологий, самоуправляемость. Осуществляя функциюу правления знаниями, важно создавать условия для получения необходимых новых знаний. Среди используемых способов можно указать на три основных [Prusak, Cohen, 1997].

Покупка знаний.

В литературе называются следующие методы покупки знаний и опыта: наем на работу новых сотрудников, обладающих знаниями и опытом; образование партнерства с другой организацией; переход какой-либо функции из другой организации для постоянного функционирования в данной структуре.

Аренда знания.

Среди способов аренды знаний и мастерства можно назвать такие, как наем на работу консультантов; получение помощи от клиентов, поставщиков, потребителей, со стороны научных учреждений и профессиональных ассоциаций; привлечение других организаций на субконтрактных основах. Знания о потребителях повышают результативность отношений с ними, а знания, полученные совместно с потребителем, открывают дорогу для большего числа нововведений, продуктов и услуг более высокого качества.

Развитие знаний.

Можно указать на такие способы развития знаний и мастерства, как: отправка работников на учебу на стороне; разработка и предоставление обучающих программ внутри организации; приглашение инструкторов со стороны для обучения внутри организации; распространение уже имеющихся знаний внутри организации. Функция управления знаниями связана и с процессами кодификации. Цель кодификации, т. е. приведения знания в документальную или формализованную систему, - сделать так, чтобы локальные знания и зачастую замалчивающиеся знания стали понятными и доступными для широкого распространения. Важно учитывать, что знание - это сложная, гибкая и богатая по содержанию структура. Базы данных предприятия могут содержать структурированную информацию, характеризующую:

1. уникальные знания специалистов - "знания человеческого интеллекта";
2. уникальную структурированную информацию, полученную с помощью экспертных систем - "знания искусственного интеллекта".

Под экспертной системой понимается программа, которая оперирует по заранее известному алгоритму информацией, представляющей знания эксперта в определенной предметной области, выраженная в форме, удобной для использования на компьютере, с целью выработки рекомендаций по решению задач или проблем, поставленных перед пользователем.

Лекция 2. «Управление информацией и знаниями»

Новые формы организации

Приобретение знаний, их хранение, распределение и преобразование в форму, удобную для внутрифирменного использования, предполагает формирование и осуществление на практике определенных организационных условий. В практической деятельности это уже нашло выражение в том, что вводятся штатные единицы директора по управлению знаниями, вице-президента по управлению интеллектуальным капиталом, менеджера по интеллектуальным активам, директора по обучению, формируются межфункциональные проектные группы в сфере управления знаниями. Существуют также брокеры знаний (сотрудники, которые могут находиться тут и там, интересоваться тем, что и как происходит). Они переносят идеи и воодушевляют тех, кто не может общаться с другими напрямую. Крупное обследование, проведенное ConferenceBoard и PricewaterHouse-Coopers и охватившее 158 корпораций, позволило определить, что $80\%$ компаний ввели систему "управления знаниями", $25\%$ компаний имеют должность главного менеджера по управлению знаниями, $53\%$ компаний имеют специальный аппарат и структуру, $46\%$ компаний имеют специальный бюджет, $6\%$ применяют общекорпоративные программы, $60\%$ собираются это делать в течение ближайших 5 лет. По данным MetaGroup, более $75\%$ из 2000 крупнейших компаний мира уже применяют методы и технологии управления знаниями. Непосредственный практический интерес представляет характер влияния новой функции на общекорпоративные организационные структуры. В последнее время в мировой практике отмечается распространение новой корпоративной модели, предусматривающей существенное расширение кооперирования среди конкурентов, поставщиков и потребителей. Эта модель меняет традиционные представления о границах фирмы. Профессиональные знания и умение каждого партнера позволяют создавать "лучшую во всем" организацию, в которой любая функция и процесс реализуются на мировом уровне. В результате обеспечивается и более высокая эффективность производства, создается обстановка взаимного доверия и взаимной ответственности. Партнерство здесь менее формально. Информационные сети устанавливают эффективные и быстродействующие связи между компаниями. Это - прямой путь к появлению в будущем структур, образующих так называемые горизонтальные корпорации.

Корпоративные системы, где функция управления знаниями объединяет не только сотрудников фирмы, но и партнеров, поставщиков, заказчиков и даже конкурентов, помогают реально налаживать партнерские отношения между компаниями. В перспективе можно предвидеть существенное расширение тенденций и другого рода - разделение крупной организации на малые самоуправляемые структуры. Так, крупный завод подразделяется на малые "целевые фабрики", которые производят небольшие партии разнообразных товаров или комплектующие для более сложной продукции. Точно так же большие организации, где работают служащие, подразделяются на малые офисы, которые предоставляют какие-то определенные услуги. Этот переход от крупномасштабных систем к малым автономным подразделениям минимизирует численность бюрократического аппарата, предполагает тесное взаимодействие между подразделениями и делает изменения более гибкими. Интеграция операций в единое целое осуществляется с помощью информационных систем. Компьютерно-интегрированное производство использует системы мощных персональных компьютеров для информационного обеспечения всех фаз деятельности - от проектных разработок до производства, управления запасами, распределения. В офисах локальные структуры или соединенные между собой коммуникационные системы позволяют людям "работать на расстоянии" при любом их местонахождении. Организация становится совокупностью отдельных гибких производственных систем, взаимодействующих и управляемых с помощью компьютеров. Информационно-аналитическая служба является обязательным атрибутом системы анализа и управления предприятием на основе технологий знаний, без которой такое управление не существует. В кадровый состав информационно-аналитического центра входят [Вебер, Данилов, Шифрин, 2003]:

• предметные аналитики по направлениям, которые по заданию руководителя подготавливают структурированную информацию для поддержки оперативного и стратегического принятия решений в относительно узкой предметной области, например, в сфере управления персоналом предприятия;
• системный аналитик (могут быть помощники), который по заданию руководителя подготавливает структурированную информацию для поддержки оперативного и стратегического принятия решений, которые требуют системного анализа ситуации во многих сферах деятельности предприятия, например, стратегии перехода на выпуск качественно нового изделия;
• технические специалисты, которые обеспечивают работоспособность телекоммуникационного и компьютерного оборудования, поддерживают базы данных, информационную безопасность и т. д.

Каждое подразделение управляется самостоятельной рабочей группой, которой предоставлен почти полный контроль - от проектирования продукции до ее производства, сбыта и оказания сервисных услуг. Компьютеризация обеспечивает необходимую гибкость компании, изготавливающей продукцию по заказу клиента для удовлетворения его индивидуальных требований. Указанные выше изменения открывают для организаций новые возможности географического расширения рынков и увеличения производственных линий. Гибкость и способность адаптироваться к изменениям становятся более важными факторами, чем постоянное стремление добиваться результатов любой ценой. С позиций производства и использования знаний принципиально важно постоянно уделять внимание формированию новаторских коллективов (команд). Цели и ресурсы для команд различаются по организациям. Ни одна модель не является идеальной формой организационной конструкции, и построение большей части организаций со временем может меняться. Усиливает свою популярность матричная организация в случаях, когда необходима координация использования знаний в сложной и нестабильной среде. Можно указать на сетевую организацию, для которой характерно гибкое, иногда временное взаимодействие между производителями, поставщиками и даже потребителями. Это динамичная структура, в которой основные компоненты могут быть смонтированы или размонтированы согласно изменившимся конкурентным условиям.

Существует несколько разных терминов для описания возникающей совсем уж новой организационной модели. Некоторые считают ее большой паутиной с главной паутиной в центре, работающей как централизованная организация. Этот центр связан с разными участниками, каждый из которых выполняет специализированную функцию и все взаимосвязаны друг с другом, что очень напоминает паука со своей паутиной. К числу наиболее значимых примеров комбинации многочисленных и разнообразных знаний, достижений в технике и технологиях относится так называемая виртуальная корпорация. Она используется для формирования временной сетевой структуры независимых организаций, связанных информационной технологией и объединяемых в разных сочетаниях для эффективного использования в стремительно меняющихся условиях. Деятельность по применению уже накопленных знаний и поступлению новой информации создает предпосылки формирования обучающейся организации. В условиях все возрастающей международной конкуренции, увеличения затрат на научные исследования, необходимости поддерживать научные и технические кадры и желания разделить риск, связанный с созданием и коммерциализацией технологии, компании объединяются в консорциумы, инновационные стратегические альянсы. Управление знаниями создает условия, при которых образование превращается в разновидность инвестиций, профессиональный опыт становится своего рода активами, а лояльность фирме - тем, чего должна добиться организация в отношениях с работником.

Управление рисками предприятия
верх

Лекция 1. «Приоритеты управления»

Программно-целевое управление — управление, ориентирующееся на достижение конкретного конечного результата в решении определенной проблемы, развитии той или иной отрасли или региона и в заранее установленные сроки. Основными принципами программно-целевого управления являются:

• ориентация на конечную цель,
• сквозное планирование объекта управления,
• принцип непрерывности.

Программно-целевое управление предназначено для решения сложных проблем общественного производства, возникающих при реализации крупномасштабных народнохозяйственных, межотраслевых и межрегиональных целей с жесткими директивными сроками. Основными этапами программно-целевого управления являются:

• формулировка цели программы;
• декомпозиция (расчленение) цели на отдельные задачи и мероприятия — формирование дерева целей и задач и оценка его элементов;
• обоснование альтернативных направлений (средств) достижения целей программы;
• оптимизация распределения ресурсов между отдельными ветвями дерева целей и темпов финансирования;
• изменение приоритетности отдельных целей программы или средств их достижения;
• адаптация целевой части программы к изменяющимся внешним условиям.

С усложнением задач развития и совершенствования производства роль программно-целевого управления возрастает. Принципы программно-целевого управления, разработка и осуществление комплексных целевых программ находят все большее распространение на всех уровнях управления — народном хозяйстве в целом, отраслях и регионах, объединениях и предприятиях.

Лекция 2. «Методы прогнозирования рисков»

Методы прогнозирования рисков.

Прогноз — предсказание будущего с помощью научных методов, а также сам результат предсказания. Прогноз — это научно обоснованное суждение о возможных состояниях объекта в будущем и (или) об альтернативных путях и сроках их осуществления[1]. Прогнозист — это тот, кто составляет прогноз. Прогнозирование — это разработка прогноза; в узком значении— специальное научное исследование конкретных перспектив дальнейшего развития какого-либо процесса. Необходимость прогноза обусловлена желанием знать события будущего, что невозможно на $100\%$ в принципе, исходя из статистических, вероятностных, эмпирических, философских принципов. Точность любого прогноза обусловлена:

• объёмом истинных (верифицированных) исходных данных и периодом их сбора;
• объёмом неверифицированных исходных данных, периодом их сбора;
• свойствами системы, объекта, подвергающихся прогнозированию;
• методиками и подходами прогнозирования.

При возрастании совокупности факторов, влияющих на точность прогноза, он практически замещается рутинным расчётом с некоторой установившейся погрешностью. Прогнозы делятся (условно):

• по срокам: краткосрочные, среднесрочные, долгосрочные, дальнесрочные;
• по масштабу: частные, местные, региональные, отраслевые, страновые, мировые (глобальные).
• по ответственности (авторству): личные, на уровне предприятия (организации), на уровне государственных органов.

К основным методам прогнозирования относят:

• статистические методы;
• экспертные оценки (например,метод Дельфи);
• методы моделирования;
• интуитивные (то есть выполненные без применения технических средств, экспромтом, «в уме» специалистом, имеющим опыт ранее применяемых научных методов в данном типе прогнозов).

Прогнозное планирование: определение рисков и поиск возможностей.

Прогностика — научная дисциплина, изучающая общие принципы и методы прогнозирования развития объектов любой природы, закономерности процесса разработки прогнозов. Как наука прогностика сформировалась в 70—80-е годы ХХ столетия. Кроме понятия «прогностика», в литературе используют термин футурология. Как любая наука прогностика имеет набор своих терминов, употребляемых для обозначения определенных понятий. Определения понятий прогностики были зафиксированы в 1978 году. Прогноз — обоснованное суждение о возможном состоянии объекта в будущем или альтернативных путях и сроках достижения этих состояний. Прогнозирование — процесс разработки прогноза. Этап прогнозирования — часть процесса разработки прогнозов, характеризующаяся своими задачами, методами и результатами. Деление на этапы связано со спецификой построения систематизированного описания объекта прогнозирования, сбора данных, с построением модели, верификацией прогноза. Прием прогнозирования — одна или несколько математических или логических операций, направленных на получение конкретного результата в процессе разработки прогноза. В качестве приема могут выступать сглаживание динамического ряда, определение компетентности эксперта, вычисление средневзвешенного значения оценок экспертов и т.д. Модель прогнозирования — модель объекта прогнозирования, исследование которой позволяет получить информацию о возможных состояниях объекта прогнозирования в будущем и (или) путях и сроках их осуществления. Метод прогнозирования — способ исследования объекта прогнозирования, направленный на разработку прогноза. Методы прогнозирования являются основанием для методик прогнозирования. Методика прогнозирования — совокупность специальных правил и приемов (одного или нескольких методов) разработки прогнозов. Прогнозирующая система — система методов и средств их реализации, функционирующая в соответствии с основными принципами прогнозирования. Средствами реализации являются экспертная группа, совокупность программ ит.д. Прогнозирующие системы могут быть автоматизированными и неавтоматизированными.

Прогнозный вариант — один из прогнозов, составляющих группу возможных прогнозов. Объект прогнозирования — процесс, система, или явление, о состоянии которого даётся прогноз. Характеристика объекта прогнозирования — качественное или количественное отражение какого-либо свойства объекта прогнозирования. Переменная объекта прогнозирования — количественная характеристика объекта прогнозирования, которая является или принимается за изменяемую в течение периода основания и (или) периода упреждения прогноза. Сложность объекта прогнозирования — характеристика объекта прогнозирования, определяющая разнообразие его элементов, свойств и отношений. Период основания прогноза — промежуток времени, за который используют информацию для разработки прогноза. Этот промежуток времени называют также периодом предыстории. Период упреждения прогноза — промежуток времени, на который разрабатывается прогноз. Прогнозный горизонт — максимально возможный период упреждения прогноза заданной точности. Точность прогноза — оценка доверительного интервала прогноза для заданной вероятности его осуществления. Достоверность прогноза — оценка вероятности осуществления прогноза для заданного доверительного интервала.

Ошибка прогноза — апостериорная величина отклонения прогноза от действительного состояния объекта. Источник ошибки прогноза — фактор, способный привести к появлению ошибки прогноза. Различают источники регулярных и нерегулярных ошибок. Верификация прогноза — оценка достоверности и точности или обоснованности прогноза. Эксперт — квалифицированный специалист по конкретной проблеме, привлекаемый для вынесения оценки по поставленной задаче прогноза. При разработке социальных прогнозов в ряде случаев производится выявление мнения представителей различных групп населения, условно приравниваемых к экспертам. Компетентность эксперта — способность эксперта выносить на базе профессиональных знаний, интуиции и опыта достоверные суждения об объекте прогнозирования. Количественная мера компетентности эксперта называется коэффициентом компетентности. Экспертная группа — коллектив экспертов, сформированный по определенным правилам для решения поставленной задачи прогноза. Частным случаем экспертной группы выступает экспертная комиссия. Компетентность группы экспертов — способность экспертной группы выносить суждения об объекте прогнозирования, адекватные мнению генеральной совокупности экспертов. Компетентность экспертной группы определяется различными методиками. Экспертная оценка — суждение эксперта или экспертной группы относительно поставленной задачи прогноза. В первом случае используется термин «индивидуальная экспертная оценка», во втором— «коллективная экспертная оценка».

Статистические методы прогнозирования

Статистические методы прогнозирования — научная и учебная дисциплина, к основным задачам которой относятся:

• разработка, изучение и применение современных математико-статистических методов прогнозирования на основе объективных данных;
• развитие теории и практики вероятностно-статистического моделирования экспертных методов прогнозирования;
• методов прогнозирования в условиях риска и комбинированных методов прогнозирования с использованием совместно экономико-математических и эконометрических (как математико-статистических, так и экспертных) моделей.

Научной базой статистических методов прогнозирования является прикладная статистика и теория принятия решений. Простейшие методы восстановления используемых для прогнозирования зависимостей исходят из заданного временного ряда, т.е. функции, определённой в конечном числе точек на оси времени. Временной ряд при этом часто рассматривается в рамках той или иной вероятностной модели, вводятся другие факторы (независимые переменные), помимо времени, например, объем денежной массы. Временной ряд может быть многомерным. Основные решаемые задачи — интерполяция и экстраполяция. Метод наименьших квадратов в простейшем случае (линейная функция от одного фактора) был разработан К.Гауссом в 1794—1795гг. Могут оказаться полезными предварительные преобразования переменных, например, логарифмирование. Наиболее часто используется метод наименьших квадратов при нескольких факторах. Метод наименьших модулей, сплайны и другие методы экстраполяции применяются реже, хотя их статистические свойства зачастую лучше. Оценивание точности прогноза (в частности, с помощью доверительных интервалов) — необходимая часть процедуры прогнозирования. Обычно используют вероятностно-статистические модели восстановления зависимости, например, строят наилучший прогноз по методу максимального правдоподобия. Разработаны параметрические (обычно на основе модели нормальных ошибок) и непараметрические оценки точности прогноза и доверительные границы для него (на основе Центральной Предельной Теоремы теории вероятностей). Применяются также эвристические приемы, не основанные на вероятностно-статистической теории, например, метод скользящих средних. Многомерная регрессия, в том числе с использованием непараметрических оценок плотности распределения — основной на настоящий момент статистический аппарат прогнозирования. Нереалистическое предположение о нормальности погрешностей измерений и отклонений от линии (поверхности) регрессии использовать не обязательно; однако для отказа от предположения нормальности необходимо опереться на иной математический аппарат, основанный на многомерной Центральной Предельной Теореме теории вероятностей, технологии линеаризации и наследования сходимости. Он позволяет проводить точечное и интервальное оценивание параметров, проверять значимость их отличия от 0 в непараметрической постановке, строить доверительные границы для прогноза.

Весьма важна проблема проверки адекватности модели, а также проблема отбора факторов. Априорный список факторов, оказывающих влияние на отклик, обычно весьма обширен, желательно его сократить, и крупное направление современных исследований посвящено методам отбора «информативного множества признаков». Однако эта проблема пока еще окончательно не решена. Проявляются необычные эффекты. Так, установлено, что обычно используемые оценки степени полинома имеют в асимптотике геометрическое распределение. Перспективны непараметрические методы оценивания плотности вероятности и их применения для восстановления регрессионной зависимости произвольного вида. Наиболее общие результаты в этой области получены с помощью подходов статистики нечисловых данных. К современным статистическим методам прогнозирования относятся также модели экспоненциального сглаживания, авторегрессии со скользящей средней, системы эконометрических уравнений, основанные как на параметрических, так и на непараметрических подходах. Для установления возможности применения асимптотических результатов при конечных (т.н. «малых») объемах выборок полезны компьютерные статистические технологии. Они позволяют также строить различные имитационные модели. Отметим полезность методов размножения данных (бутстреп-методов). Системы прогнозирования с интенсивным использованием компьютеров объединяют различные методы прогнозирования в рамках единого автоматизированного рабочего места прогнозиста. Прогнозирование на основе данных, имеющих нечисловую природу, в частности, прогнозирование качественных признаков основано на результатах статистики нечисловых данных. Весьма перспективными для прогнозирования представляются регрессионный анализ на основе интервальных данных, включающий, в частности, определение и расчет нотны и рационального объема выборки, а также регрессионный анализ нечетких данных. Общая постановка регрессионного анализа в рамках статистики нечисловых данных и её частные случаи — дисперсионный анализ и дискриминантный анализ (распознавание образов с учителем), давая единый подход к формально различным методам, полезна при программной реализации современных статистических методов прогнозирования.

Основными процедурами обработки прогностических экспертных оценок являются проверка согласованности, кластер-анализ и нахождение группового мнения. Проверка согласованности мнений экспертов, выраженных ранжировками, проводится с помощью коэффициентов ранговой корреляции Кендалла и Спирмена, коэффициента ранговой конкордации Кендалла и Бэбингтона Смита. Используются параметрические модели парных сравнений — Терстоуна, Бредли-Терри-Льюса — и непараметрические модели теории люсианов. Полезна процедура согласования ранжировок и классификаций путем построения согласующих бинарных отношений. При отсутствии согласованности разбиение мнений экспертов на группы сходных между собой проводят методом ближайшего соседа или другими методами кластерного анализа (автоматического построения классификаций, распознавания образов без учителя). Классификация люсианов осуществляется на основе вероятностно-статистической модели. Используют различные методы построения итогового мнения комиссии экспертов. Своей простотой выделяются методы средних арифметических и медиан рангов. Компьютерное моделирование позволило установить ряд свойств медианы Кемени, часто рекомендуемой для использования в качестве итогового (обобщенного, среднего) мнения комиссии экспертов. Интерпретация закона больших чисел для нечисловых данных в терминах теории экспертного опроса такова: итоговое мнение устойчиво, то есть мало меняется при изменении состава экспертной комиссии, и при росте числа экспертов приближается к «истине». При этом предполагается, что ответы экспертов можно рассматривать как результаты измерений с ошибками, все они — независимые одинаково распределенные случайные элементы, вероятность принятия определенного значения убывает по мере удаления от некоторого центра — «истины», а общее число экспертов достаточно велико.

Многочисленны примеры ситуаций, связанных с социальными, технологическими, экономическими, политическими, экологическими и другими рисками. Именно в таких ситуациях обычно и необходимо прогнозирование. Известны различные виды критериев, используемых в теории принятия решений в условиях неопределенности (риска). Из-за противоречивости решений, получаемых по различным критериям, очевидна необходимость применения оценок экспертов. В конкретных задачах прогнозирования необходимо провести классификацию рисков, поставить задачу оценивания конкретного риска, провести структуризацию риска, в частности, построить деревья причин (в другой терминологии, деревья отказов) и деревья последствий (деревья событий). Центральной задачей является построение групповых и обобщенных показателей, например, показателей конкурентоспособности и качества. Риски необходимо учитывать при прогнозировании экономических последствий принимаемых решений, поведения потребителей и конкурентного окружения, внешнеэкономических условий и макроэкономического развития России, экологического состояния окружающей среды, безопасности технологий, экологической опасности промышленных и иных объектов. Современные компьютерные технологии прогнозирования основаны на интерактивных статистических методах прогнозирования с использованием баз эконометрических данных, имитационных (в том числе на основе применения метода статистических испытаний) и экономико-математических динамических моделей, сочетающих экспертные, математико-статистические и моделирующие блоки.

Основные виды прогнозов

1. Технологический прогноз

Относится к уровню технологического развития в прогнозируемой сфере, помогая проанализировать будущие веяния технологий.

2. Экономический прогноз

Анализ будущего состояния экономических факторов, влияющих на развитие деятельности организации.

3. Прогноз объема продаж (спроса)

Прогнозирование факторов, влияющих на продажи продукции (спрос на неё).

4. Прогнозирование развития конкуренции

Предсказание возможных изменений и дальнейшей стратегии деятельности конкурентов

5. Социальное прогнозирование

Прогноз изменения социальных установок людей, а также настроения общества в целом.

6. Криминологический прогноз
7. Педагогическое прогнозирование

Педагогическое прогнозирование оперирует педагогическими процессами, явлениями или направлено на предсказание результатов поведения, развития педагогической системы в целом или отдельных её частей. Примерами педагогических процессов могут быть процессы формирования, развития, становление, воспитание, обучение, самосовершенствование, самообучение, профессиональной подготовки и т.д.

Приложения (компьютерные) для прогнозирования

Для прогнозирования по временному ряду обычно используют компьютерные программы. Это позволяет автоматизировать большую часть операций при построении прогноза, а также позволяет избежать ошибок, связанных с вводом данных и построением моделей. Такие приложения могут быть как локальными (для использования на одном компьютере), так и интернет-приложениями (доступными в виде веб-сайта, например). В качестве локальных приложений следует выделить такие программы как: R, SPSS, Statistica, ForecastPro, ForecastExpert. Развитие общественного производства приводит к тому, что сфера возникновения риска постоянно увеличивается, и. как следствие этого, растет размер возможных отрицательных последствий. Поэтому вопросы, связанные с методикой анализа риска, управления риском и прогнозирование, становятся особенно актуальными. Чтобы успешно управлять рисками нужно уметь их анализировать и прогнозировать. Для решения задачи прогнозирования рисков можно использовать все известные методы статистики и экономики, которые позволяют оценить параметры объекта вперед на некоторый интервал времени. Специфические особенности методов прогнозирования риска часто заключаются в значительной доле неопределенности, которая обусловлена внутренними свойствами объектов и неполнотой известных о них сведений.

Модели оценки и прогнозирования рисков

Очевидно, что для решения задач прогнозирования необходимо достаточно полно и обстоятельно проанализировать процесс в прошлом. Основные задачи, которые обычно ставятся при анализе риска, это выявление опасности и сравнительная количественная оценка этой опасности для различных видов риска. Эта задачи включают вопросы идентификации риска, сравнительной оценки риска с максимально допустимой и прогнозирование. Поскольку прогнозирование главным образом базируется на изучении тенденции его проявления, достоверность прогноза в сильной степени зависит от достоверности и значимости тенденции изменения показателей риска во времени. Источники такой информации подразделяются на внешние и внутренние. Основными в таких задачах являются статистические данные об изучаемом объекте, полученные из внутренних источников. В них отражаются особенности функционирования и развития объекта. Прогноз обычно основывается на предположении, что тенденция, установившаяся в прошлом, сохранится и в будущем, т.е. следует упитывать, что прогнозирование имеет дело с установившимися процессами. Кроме того следует иметь в виду, что в размеры статистических показателей, которые с течение времени изменяются, нужно вносить поправки. Например, исключать влияние инфляционных процессов. В тех задачах, где показателей внутренней статистики оказывается недостаточно для анализа и прогноза риска они могут быть дополнены сведениями из внешних источников информации. Например, сведениями . полученными в результате анализа деятельности конкурентов или сведениями об авариях и различного рода катастрофах. От правильной постановки, организации и решения задачи анализа риска в значительной степени зависит насколько эффективными будут дальнейшие исследования. На рисунке 1 представлена схема основных методов, которые используются вразного рода задачах анализа риска.

Рисунок 1 - Основные методы анализа рисков

Несмотря на их многообразие на самом деле задачи и методы оценки риска достаточно тесно связаны между собой. Наиболее перспективным в настоящий момент можно считать вероятностный метод, который позволяет оценивать не только вероятность возникновения негативных событий, но и относительную вероятность развития того или иного направления. Основные трудности, которые ограничивают возможности вероятностного анатиза. связаны с недостаточностью сведений по функциям распределения параметров. Некоторые математические методы и модели, которые используются в задачах изучения рисков, приведены в таблице 1. В большинстве практических задач статистический метод оценки и прогнозирования показателей риска в разных ситуациях может быть сведен к пуассоновскому потоку негативных событий или к биномиальному распределению. Но следует иметь в виду,что для достижения требуемой точности показателей, этот метод требует наличия значительного объема достоверных данных, которые не всегда имеются. Особенно в тех случаях, когда речь идет о показателях риска достаточно редких, но опасных событий. Если собрана необходимая информация о распределении ущерба от некоторой опасности для изучаемого объекта в случае ее реализации $f(w)$ долю катастрофических ситуаций ($КС$) от общего числа негативных событий ($НС$)можно найти :

$q=\int_{КС}^{x}f(w)dw$

В результате этого имеем оценки статистических вероятностей (частот) разного рода чрезвычайных ситуаций. Например, можно оценить долю риска, приводящего к катастрофам.

Таблица 1 - Методы и модели изучения рисков

Рисунок 2 - Графики возможного распределения ущерба

Если известны статистические частоты (вероятности) разного рода чрезвычайных ситуаций (известна доля профессионального риска, связанная, например, с каким-то увечьем), тогда можно поставить задачу об оценке максимального (или минимального) значения доли риска в том случае, если реализованы некоторые предупредительные меры. Для этого можно построить простую модель из теории стратегических игр. Пусть известны статистические вероятности риска (дата риска) в предположении, что реализованы:

• предупредительные меры $М$ для случая сценария $А$ или $В$:
• предупредительные меры $N$ для случая сценария $А$ или $В$:
• никаких мер не принимают $Р$ для случая сценария $А$ или $В$.

Представим исходные данные в табличной форме (табл.2).

Таблица 2 - Исходные данные для построения модели определения доли риска

Реализация предупредительных мер снижает опасность риска. Графическое представление распределения ущерба до и после реализации предупредительных мер позволяет наглядно представить особенности тех или иных рисков и повести сравнительный анализ реализованных предупредительных мер. На графиках (рис.2) представлены эскизы графиков распределения ущерба до (кривая 1) и после (кривая 2) реализации предупредительных мер. Таким образом, если известна информация о распределении ущерба, можно поставить задачу об оценке максимального значения частоты риска в тех случаях, когда реализованы некоторые предупредительные меры. Для такого рода оценочного значения можно попробовать использовать простую модель из теории стратегических игр. Здесь, например. $\frac {Q}{i}$- доля риска для случая развития сценария $А$ если реализованы предупредительные меры $N$. Зная значения этих статистических вероятностей.оценим максимальную вероятность доли риска для стратегий, если активизированы предупредительные меры $М$ или $N$ или продолжать не предпринимать никаких мер. Тогда, согласно теории вероятности.

Обозначим: $X_i$- значение (дата) вероятности риска, a $y_j$-доли реализации предупредительных мер в выбранной стратегии. Сведем результаты вычислений возможных статистических вероятностей риска в таблицу 3. Очевидно, что

$$ \begin{align} x_1+x_2+x_3+x_4+ & x_5+x_6= 1 \\ &y_1+y_2 = 1 \\ \end{align} $$

Таблица 3 - Статистические вероятности риска

Нужно найти доли предупредительных мер.дающие оптимальные результаты. Обозначим $G$- минимальную возможную долю риска. Очевидно, что должны быть выполнены следующие условия:

$$ \begin{align} Y_1Q_{mm}^A + Y_2Q_{mm}^B ≤ G\\ Y_1Q_{nn}^A + Y_2Q_{nn}^B ≤ G \\ Y_1Q_{pp}^A + Y_2Q_{pp}^B ≤ G \\ Y_1Q_{mn}^A + Y_2Q_{mn}^B ≤ G \\ Y_1Q_{mp}^A + Y_2Q_{mp}^B ≤ G \\ Y_1Q_{np}^A + Y_2Q_{np}^B ≤ G \\ \end{align} $$

Такая задача может быть решена графически. На плоскости $OY_1Y_2$ нужно построить область возможных решений, которая в общем случае представляет собой многоугольник (границами области являются прямые линии). Минимальное значение возможной вероятности ущерба от риска находится в одной из его вершин. Этот минимум всегда существует. В теории стратегических игр доказана теорема Неймана о существовании смешанной оптимальной стратегии устойчивости н безопасности (невозможности для каждого из игроков отклонится от своих оптимальных стратегий без увеличения риска).

Экономическая безопасность
верх

Лекция 1. «Предпринимательская деятельность как объект ЭИБ»

Криминальная конкуренция может быть определена как участие в той или иной форме социальных организаций и физических лиц в соперничестве с экономическими субъектами, направленное на получение сверхприбыли, а также на достижение иных целей и получение односторонних преимуществ в различных сферах жизни личности, общества и государства с использованием запрещенных законом методов и средств деятельности. Существующие понятия недобросовестной конкуренции, хищнической конкуренции, а также внеэкономической конкуренции позволяют обозначить явления подобного рода лишь частично. Дело в том, что субъекты недобросовестной конкуренции, равно как и хищнической конкуренции, действуют исключительно в сфере экономики, средства и методы ее также сугубо экономические. Под недобросовестной конкуренцией понимают методы конкурентной борьбы, связанные с нарушением принятых на рынке норм и правил конкуренции. Сюда относятся, в частности, демпинг, злоупотребление господствующим положением на рынке, ложная информация и реклама, копирование (имитация) продукции производимой конкурентом, нарушение качества, стандартов и условий поставок товаров и услуг, создание тайных картелей, тайный сговор на торгах, фиктивный экспорт, обман потребителей, переманивание специалистов, махинации с деловой отчетностью и др. Недобросовестная конкуренция при благоприятных для этого условиях плавно перерастает в криминальную конкуренция, создает для этого своего рода питательную среду.

Обеспечение нормальной производственно-хозяйственной деятельности предприятий промышленности является важнейшим аспектом обеспечения экономической безопасности отрасли промышленности и региона в целом и, следовательно, процесс обеспечения экономической безопасности промышленности субъекта Федерации (региона)нам представляется,как совокупность мероприятий по обеспечению уровня платежеспособности промышленных предприятий, ликвидности их оборотных средств, повышению качества планирования и осуществления финансово-хозяйственной деятельности предприятий по всем направлениям стратегического и оперативного планирования, и управления,в том числе в вопросах технологического, информационного и кадрового потенциалов, с целью максимализации прибыли и повышения уровня рентабельности бизнеса, что, в конечном итоге, является непременным условием роста ВРП республики в целом. Ряд авторов отмечают в своих работах и исследованиях, что единства взглядов, на проблемы экономической безопасности промышленных предприятий, не существует. Однако, на наш взгляд, при современном уровне исследованности проблемы, выработка общих принципов (модели) организации обеспечения экономической безопасности промышленных предприятий не только возможна, но и объективно необходима. Это обусловлено тем, что благоприятное состояние экономической безопасности отдельных промышленных предприятий, в первую очередь крупнейших,градообразующих,по месту дислокации,является финансовым фундаментом экономической безопасности промышленности региона в целом. Обеспечение экономической безопасности промышленных предприятий необходимо рассматривать как процесс прогнозирования и предотвращения всесторонних ущербов от негативных воздействий на их экономическую безопасность по различным аспектам финансово-хозяйственной деятельности. Эффективный результат работы промышленных предприятий по обеспечению доходности и устойчивости бизнеса, может быть, достигнут именно за счет прогнозирования и своевременного предотвращения ущербов, как очевидно представляющих угрозу экономической безопасности, так и потенциально вероятных. Промышленные предприятия, составляющие промышленный комплекс региона, действующие в условиях рыночной экономики, представляют собой, как правило,сложный,инженерно-технический комплекс,который может выступать в качестве объекта злонамеренных действий, а в сложившихся современных условиях и терроризма,притязаний криминальных структур, недобросовестных конкурентов и т. д. Промышленные предприятия так же являются собственниками технической и коммерческой информации, интеллектуальной собственности, торговой марки, несанкционированное использование которых несет в себе ущерб финансовому положению конкретного промышленного предприятия, что не замедлит сказаться на той или иной составляющей экономической безопасности промышленности региона в целом.

Рис. 1. Объекты защиты

При рассмотрении вопросов экономической безопасности промышленных предприятий нельзя игнорировать или в какой-то мере принижать социальную значимость сохранения жизни и здоровья персонала.его материального благополучия. Исходя из этого, объекты защиты исходя из предлагаемой нами модели обеспечения экономической безопасности конкретных промышленных предприятий, могут быть представлены следующим образом. (Рис. 1) В процессе обеспечения экономической безопасности промышленных предприятий мы выделяем основные объекты,подлежащие рассмотрению в качестве источников финансового благополучия предприятий. В зависимости от состояния и степени защищенности от различного рода угроз экономической безопасности, приведенные объекты оказывают непосредственное влияние на финансовое благосостояние промышленных предприятий, что, в свою очередь,влияет наb отдельные индикаторы состояния экономической безопасности промышленности региона в целом.

Рис. 2.Организационная структура системы экономической безопасности промышленных предприятий

Информационное обеспечение включает в себя получение сведений необходимых для решения задач обеспечивающих эффективное функционирование системы. Кадровое обеспечение, оно включает в себя: подбор кадров соответствующей квалификации, повышение квалификации персонала организации,обеспечение системы стимулирования менеджмента и может рассматриваться как отдельный элемент экономической безопасности промышленных предприятий и, в отдельных случаях как составная часть организации деятельности. Техническое обеспечение, включает в себя широкое использование технических средств различного назначения, обеспечивающих реализацию мероприятий по обеспечению экономической безопасности и обеспечение контроля за их исполнением. В целом модель экономической безопасности промышленных предприятий, на наш взгляд, должна представлять собой основные принципы и направления реализации мероприятий на различных уровнях производственной и коммерческой деятельности. Имеющийся, в данной сфере деятельности опыт,исследования которого приводят в своих работах различные авторы,показывает, что реализация задачи возможна только при условии организованной деятельности не только администрации, но и всего персонала,привлекаемых экспертов и специалистов, основанный на принципах законности, соблюдения баланса интересов личности, предприятия и государства, взаимной ответственности персонала и руководства, взаимодействия с региональными и федеральными структурами, обеспечивающими реализацию Концепции национальной безопасности. Обеспечение экономической безопасности промышленных предприятий, на наш взгляд, не позволяет,по своей сути,сводить данную работу лишь к организации и проведению отдельных мероприятий, а должно представлять собой непрерывный,целенаправленный процесс требующий:

• постоянного прогнозирования возможных угроз;
• обоснования и реализации эффективных форм и методов создания, совершенствования и развития системы экономической безопасности предприятий;
• непрерывного контроля и управления системой;
• комплексного, эффективного использования имеющихся средств защиты всех элементов производственно-хозяйственной системы;
• соответствующего требованиям уровня профессиональной подготовки персонала промышленных предприятий.

Наибольшая эффективность действующей системы обеспечения экономической безопасности промышленных предприятий и в первую очередь безопасности финансовых ресурсов может быть достигнута, на наш взгляд при условии объединения в единый,целостный механизм средств, методов и средств, которые в совокупности в состоянии обеспечить безопасность, сохранить и эффективно использовать финансовые, материальные и информационные ресурсы. Процесс обеспечения безопасности финансовых ресурсов рядом авторов определяется как совокупность работ по обеспечению максимально высокого уровня платежеспособности предприятия, повышению качества планирования и осуществления финансово-хозяйственной деятельности промышленного предприятия по всем направлениям деятельности. Нами, процесс обеспечения финансовой безопасности организации рассматривается как процесс предотвращения всевозможных ущербов от негативных, как внешних, так и внутренних, воздействий и оптимизации отдельных аспектов управления финансово-хозяйственной деятельностью и планирования. (Рис. 3)

Рис.3. Общая схема модели обеспечения финансовой безопасности промышленных предприятий

Коммерческая тайна — режим конфиденциальности информации, позволяющий её обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду. Под режимом конфиденциальности информации понимается введение и поддержание особых мер по защите информации. Также под коммерческой тайной могут подразумевать саму информацию, которая составляет коммерческую тайну, то есть, научно-техническую, технологическую, производственную, финансово-экономическую или иную информацию, в том числе составляющую секреты производства (ноу-хау), которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности её третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введён режим коммерческой тайны. Обладатель информации имеет право отнести её к коммерческой тайне, если эта информация отвечает вышеуказанным критериям и не входит в перечень информации, которая не может составлять коммерческую тайну (ст.5 закона «О коммерческой тайне»). Чтобы информация получила статус коммерческой тайны, её обладатель должен исполнить установленные процедуры (составление перечня, нанесение грифа и некоторые другие). После получения статуса коммерческой тайны информация начинает охраняться законом. Разглашение информации, составляющей коммерческую тайну – действие или бездействие, в результате которых информация, составляющая коммерческую тайну, в любой возможной форме (устной, письменной, иной форме, в том числе с использованием технических средств) становится известной третьим лицам без согласия обладателя такой информации либо вопреки трудовому или гражданско-правовому договору. За разглашение (умышленное или неосторожное), а также за незаконное использование информации, составляющей коммерческую тайну, предусмотрена ответственность — дисциплинарная, гражданско-правовая, административная, уголовная и материальная. Материальная ответственность наступает независимо от других форм ответственности. Доктрина информационной безопасности РФ — совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации. Доктрина информационной безопасности Российской Федерации была утверждена 9 сентября 2000 года Президентом Российской Федерации В.В. Путиным.

Понятие информационной безопасности в доктрине

Информационная безопасность - это состояние защищенности национальных интересов в информационной сфере, определяемых совокупностью сбалансированных интересов личности, общества и государства. Составляющие национальных интересов РФ в информационной сфере в доктрине:

1. Обязательное соблюдение конституционных прав и свобод человека в области получения информации и пользования ею.
2. Информационное обеспечение государственной политики РФ(доведение до граждан РФ и международной общественности о государственной политике РФ, официальной позиции по значимым событиям в России и в мире) с доступом граждан к открытым государственным ресурсам.
3. Развитие современных ИТ отечественной индустрии (средств информатизации, телекоммуникации и связи). Обеспечение ИТ внутреннего рынка России и выход на мировые рынки.
4. Защита информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем.

Виды угроз информационной безопасности РФ в доктрине:

1. Угрозы, направленные на конституционные права и свободы человека в области информационной деятельности.
2. Угрозы информационному обеспечению государственной политики РФ.
3. Угроза развитию современных ИТ отечественной индустрии, а также выходу на внутренний и мировой рынок.
4. Угрозы безопасности информационных и телекоммуникационных средств и систем.

Методы обеспечения информационной безопасности РФ в доктрине:

1. Правовые методы
• Разработка нормативных правовых актов, регламентирующих отношения в сфере ИТ
• разработка нормативных методических документов отвечающим по вопросам информационной безопасности РФ
2. Организационно-технические методы
• создание системы информационной безопасности РФ и её совершенствование
• привлечение лиц к ответственности, совершивших преступления в этой сфере
• создание систем и средств для предотвращения несанкционированного доступа к обрабатываемой информации
• выявление средств и устройств, представляющих опасность для нормального функционирования систем - предотвращение перехвата информации с применением средств криптографической защиты как при передаче информации, так и при её хранении
• контроль за выполнением требований по защите информации
• контроль за действиями персонала, имеющих доступ к информации, подготовка кадров в области обеспечения информационной безопасности РФ
• создание системы мониторинга информационной безопасности РФ
3. Экономические методы
• разработка программ обеспечения информационной безопасности и их финансирование
• финансирование работ, связанных с обеспечением информационной безопасности РФ
4. Доктрина служит основой для
• формирования государственной политики в области обеспечения информационной безопасности Российской Федерации;
• подготовки предложений по совершенствованию правового, методического, научно-технического и организационного обеспечения информационной безопасности Российской Федерации;
• разработки целевых программ обеспечения информационной безопасности Российской Федерации.

Доктрина развивает Концепцию национальной безопасности Российской Федерации применительно к информационной сфере.

Доктрина информационной безопасности Российской Федерации представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации. Она относится к нормативно-методическим документам. Под информационной безопасностью Российской Федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства. Интересы личности в информационной сфере заключаются в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, а также в защите информации, обеспечивающей личную безопасность. Первая составляющая национальных интересов Российской Федерации в информационной сфере включает в себя соблюдение конституционных прав и свобод человека и гражданина в области получения информации и пользования ею, обеспечение духовного обновления России, сохранение и укрепление нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны. Вторая составляющая национальных интересов Российской Федерации в информационной сфере включает в себя информационное обеспечение государственной политики Российской Федерации, связанное с доведением до российской и международной общественности достоверной информации о государственной политике Российской Федерации, ее официальной позиции по социально значимым событиям российской и международной жизни, с обеспечением доступа граждан к открытым государственным информационным ресурсам. Третья составляющая национальных интересов Российской Федерации в информационной сфере включает в себя развитие современных информационных технологий, отечественной индустрии информации, в том числе индустрии средств информатизации, телекоммуникации и связи, обеспечение потребностей внутреннего рынка ее продукцией и выход этой продукции на мировой рынок, а также обеспечение накопления, сохранности и эффективного использования отечественных информационных ресурсов. В современных условиях только на этой основе можно решать проблемы создания наукоемких технологий, технологического перевооружения промышленности, приумножения достижений отечественной науки и техники. Россия должна занять достойное место среди мировых лидеров микроэлектронной и компьютерной промышленности. Четвертая составляющая национальных интересов Российской Федерации в информационной сфере включает в себя защиту информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем, как уже развернутых, так и создаваемых на территории России. Виды угроз ИБ РФ:

• угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению России;
• угрозы информационному обеспечению государственной политики Российской Федерации;
• угрозы развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребностей внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного использования отечественных информационных ресурсов;
• угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России.

К внешним источникам угроз ИБ РФ относятся:

• деятельность иностранных политических, экономических, военных, разведывательных и информационных структур, направленная против интересов Российской Федерации в информационной сфере;
• стремление ряда стран к доминированию и ущемлению интересов России в мировом информационном пространстве, вытеснению ее с внешнего и внутреннего информационных рынков;
• обострение международной конкуренции за обладание информационными технологиями и ресурсами;
• деятельность международных террористических организаций;
• увеличение технологического отрыва ведущих держав мира и наращивание их возможностей по противодействию созданию конкурентоспособных российских информационных технологий;
• деятельность космических, воздушных, морских и наземных технических и иных средств (видов) разведки иностранных государств;
• разработка рядом государств концепций информационных войн, предусматривающих создание средств опасного воздействия на информационные сферы других стран мира, нарушение нормального функционирования информационных и телекоммуникационных систем, сохранности информационных ресурсов, получение несанкционированного доступа к ним.

К внутренним источникам относятся:

• критическое состояние отечественных отраслей промышленности;
• неблагоприятная криминогенная обстановка, сопровождающаяся тенденциями сращивания государственных и криминальных структур в информационной сфере, получения криминальными структурами доступа к конфиденциальной информации, усиления влияния организованной преступности на жизнь общества, снижения степени защищенности законных интересов граждан, общества и государства в информационной сфере;
• недостаточная координация деятельности федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации по формированию и реализации единой государственной политики в области обеспечения информационной безопасности Российской Федерации;
• недостаточная разработанность нормативной правовой базы, регулирующей отношения в информационной сфере, а также недостаточная правоприменительная практика;
• неразвитость институтов гражданского общества и недостаточный государственный контроль за развитием информационного рынка России;
• недостаточное финансирование мероприятий по обеспечению информационной безопасности Российской Федерации;
• недостаточная экономическая мощь государства;
• снижение эффективности системы образования и воспитания, недостаточное количество квалифицированных кадров в области обеспечения информационной безопасности;
• недостаточная активность федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации в информировании общества о своей деятельности, в разъяснении принимаемых решений, в формировании открытых государственных ресурсов и развитии системы доступа к ним граждан;
• отставание России от ведущих стран мира по уровню информатизации федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации и органов местного самоуправления, кредитно-финансовой сферы, промышленности, сельского хозяйства, образования, здравоохранения, сферы услуг и быта граждан.

За последние годы в Российской Федерации реализован комплекс мер по совершенствованию обеспечения ее информационной безопасности. Начато формирование базы правового обеспечения информационной безопасности. Приняты Закон Российской Федерации "О государственной тайне", Основы законодательства Российской Федерации об Архивном фонде Российской Федерации и архивах, федеральные законы "Об информации, информатизации и защите информации", "Об участии в международном информационном обмене", ряд других законов, развернута работа по созданию механизмов их реализации, подготовке законопроектов, регламентирующих общественные отношения в информационной сфере. Общие методы обеспечения информационной безопасности Российской Федерации разделяются на правовые, организационно-технические и экономические.

Закон "Об информации, информационных технологиях и о защите информации"

Закон регулирует отношения, возникающие при:

• осуществлении права на поиск, получение, передачу, производство и распространение информации;
• применении информационных технологий;
• обеспечении защиты информации.

Не распространяются на отношения, возникающие при правовой охране результатов интеллектуальной деятельности и приравненных к ним средств индивидуализации.

Информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств; Информационные технологии - процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов; Обладатель информации - лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам; Конфиденциальность информации - обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя.

Правовое регулирование отношений, возникающих в сфере информации, информационных технологий и защиты информации, основывается на следующих принципах:

1. свобода поиска, получения, передачи, производства и распространения информации любым законным способом;
2. установление ограничений доступа к информации только федеральными законами;
3. открытость информации о деятельности государственных органов и органов местного самоуправления и свободный доступ к такой информации, кроме случаев, установленных федеральными законами;
4. равноправие языков народов Российской Федерации при создании информационных систем и их эксплуатации;
5. обеспечение безопасности Российской Федерации при создании информационных систем, их эксплуатации и защите содержащейся в них информации;
6. достоверность информации и своевременность ее предоставления;
7. неприкосновенность частной жизни, недопустимость сбора, хранения, использования и распространения информации о частной жизни лица без его согласия;
8. недопустимость установления нормативными правовыми актами каких-либо преимуществ применения одних информационных технологий перед другими, если только обязательность применения определенных информационных технологий для создания и эксплуатации государственных информационных систем не установлена федеральными законами.

Информация в зависимости от порядка ее предоставления или распространения подразделяется на:

• информацию, свободно распространяемую;
• информацию, предоставляемую по соглашению лиц, участвующих в соответствующих отношениях;
• информацию, которая в соответствии с федеральными законами подлежит предоставлению или распространению;
• информацию, распространение которой в Российской Федерации ограничивается или запрещается.

Обладателем информации может быть гражданин (физическое лицо), юридическое лицо, Российская Федерация, субъект Российской Федерации, муниципальное образование. Обладатель информации, если иное не предусмотрено федеральными законами, вправе:

• разрешать или ограничивать доступ к информации, определять порядок и условия такого доступа;
• использовать информацию, в том числе распространять ее, по своему усмотрению;
• передавать информацию другим лицам по договору или на ином установленном законом основании;
• защищать установленными законом способами свои права в случае незаконного получения информации или ее незаконного использования иными лицами;
• осуществлять иные действия с информацией или разрешать осуществление таких действий.

К общедоступной информации относятся общеизвестные сведения и иная информация, доступ к которой не ограничен. Не может быть ограничен доступ к:

1. нормативным правовым актам, затрагивающим права, свободы и обязанности человека и гражданина, а также устанавливающим правовое положение организаций и полномочия государственных органов, органов местного самоуправления;
2. информации о состоянии окружающей среды;
3. информации о деятельности государственных органов и органов местного самоуправления, а также об использовании бюджетных средств (за исключением сведений, составляющих государственную или служебную тайну);
4. информации, накапливаемой в открытых фондах библиотек, музеев и архивов, а также в государственных, муниципальных и иных информационных системах, созданных или предназначенных для обеспечения граждан (физических лиц) и организаций такой информацией;
5. иной информации, недопустимость ограничения доступа к которой установлена федеральными законами.

Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

1. обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2. соблюдение конфиденциальности информации ограниченного доступа;
3. реализацию права на доступ к информации.

Лекция 2. «Типичные экономико-правовые ситуации в бизнесе»

В условиях нестабильности и противоречивости реформационных процессов в экономике РФ одной из важнейших задач науки и практики становится разработка и реализация системы экономической безопасности предприятия. Российские предприятия (организации) вынуждены адаптироваться к условиям политической и социально-экономической нестабильности и вести поиск адекватных решений сложнейших проблем и угроз своему функционированию. Экономическая безопасность предприятия (организации) – это состояние наиболее эффективного использования корпоративных ресурсов для предотвращения угроз и создание условий стабильного функционирования основных его подразделений. Цели экономической безопасности предприятия:

• обеспечение высокой финансовой эффективности работы предприятия и его финансовой устойчивости и независимости;
• обеспечение технологической независимости предприятия и достижение высокой конкурентоспособности его технологического потенциала;
• высокая эффективность менеджмента;
• высокий уровень квалификации персонала предприятия и его интеллектуального потенциала;
• качественная правовая защищенность всех аспектов деятельности предприятия;
• обеспечение защиты информационной среды предприятия, коммерческой тайны;
• обеспечение безопасности предприятия.

Положение о структуре службы безопасности предприятия

В условиях формирования общего экономического пространства перед предприятиями особо остро встает задача сохранения коммерческой тайны. Можно сказать определенно: в период становления рынка недобросовестная конкуренция представляет собой серьезную угрозу этому процессу. Стало почти массовым процессом беззастенчивое заимствование интеллектуальной и промышленной собственности (методик, программ, знания и технологии) сотрудниками предприятий, работающими одновременно в кооперативах, малый предприятиях и других коммерческих структурах. К этому следует добавить целенаправленные действия по сманиванию или подкупу рабочих и служащих предприятий конкурента, чтобы завладеть секретами их коммерческой и производственной деятельности. Современный промышленный шпионаж предполагает использование новейших достижений электроники, непосредственное тайное наблюдение, кражи со взломом, подкуп и шантаж. Речь идет о настоящей «тайной войне». То, что в мировой практике именуется промышленным шпионажем, мы даже не можем юридически классифицировать. С переходом на рыночные отношения и условия самостоятельности предприятий перед нами встали серьезные проблемы по обеспечению сохранности своих коммерческих секретов и безопасности предприятия.

Отечественный и зарубежный опыт свидетельствует, что основную роль в обеспечении сохранности коммерческой тайны играют сами предприятия, а не государственные органы. Для защиты коммерческих секретов предприятия создают собственные службы безопасности. Важной предпосылкой создания службы безопасности предприятия является разработка ее структуры, состава, положений о подразделениях, и должностных инструкций для руководящего состава и сотрудников. Настоящее издание содержит справочный материал для специалистов, занятых разработкой защитных мероприятий, созданием систем безопасности, и для руководителей предприятий, поставивших перед собой задачу обеспечения безопасности производства и коммерческих секретов. Многогранность сферы обеспечения безопасности и защиты информации требует создания специальной службы, осуществляющей реализацию специальных защитных мероприятий. Структура, численность и состав службы безопасности предприятия (фирмы, компании и т.д.) за рубежом определяются реальными потребностями предприятия и степенью конфиденциальности ее информации. В зависимости от масштабов и мощности организации деятельность по обеспечению безопасности предприятия и защиты информации может быть реализована от абонентного обслуживания силами специальных центров безопасности до полномасштабной службы компании с развитой штатной численностью. В зарубежных источниках, например, рассматривается следующая структура службы безопасности фирмы (рис. 1). Она возглавляется начальником службы безопасности, которому подчинены служба охраны, инспектор безопасности, консультант по безопасности и служба противопожарной охраны. С учетом накопленного зарубежного и отечественного опыта и особенностей рыночной экономики предлагается рабочий вариант службы безопасности предприятия среднего масштаба производства, ее структура и должностные инструкции.

Общие положения.

Основными задачами службы безопасности предприятия являются обеспечение безопасности предприятия, производства, продукции и защита коммерческой, промышленной, финансовой, деловой и другой информации, независимо от ее назначения и форм при всем многообразии возможных каналов ее утечки и различных злонамеренных действий со стороны конкурентов.

Правовые основы деятельности службы безопасности.

Основные положения, состав и организация службы безопасности имеют юридическую силу в том случае, если они зафиксированы в основополагающих правовых, юридических и организационных документах предприятия. В основу деятельности службы безопасности положены:

• Закон Российской Федерации «О безопасности";
• Законы и регламенты России, обеспечивающие безопасность деятельности и сохранность коммерческой тайны;
• Закон о предприятиях и предпринимательской деятельности;
• Кодекс законов о труде (КЗОТ);
• Устав предприятия, коллективный договор, трудовые договоры, правила внутреннего трудового распорядка сотрудников, должностные обязанности руководителей, специалистов, рабочих и служащих.

Основные задачи службы безопасности.

Основными задачами службы безопасности предприятия являются:

• обеспечение безопасности производственно-торговой деятельности и защиты информации и сведений, являющихся коммерческой тайной;
• организация работы по правовой, организационной и инженерно-технической (физической, аппаратной, программной и математической) защите коммерческой тайны;
• организация специального делопроизводства, исключающего несанкционированное получение сведений, являющихся коммерческой тайной;
• предотвращение необоснованного допуска и доступа к сведениям и работам, составляющим коммерческую тайну;
• выявление и локализации возможных каналов утечки конфиденциальной информации в процессе повседневной производственной деятельности и в экстремальных (аварийных, пожарных и др.) ситуациях;
• обеспечение режима безопасности при проведении всех видов деятельности, включая различные встречи, переговоры, совещания, заседания, связанные с деловым сотрудничеством как на национальном, так и на международном уровне;
• обеспечение охраны зданий, помещений, оборудования, продукции и технических средств обеспечения производственной деятельности;
• обеспечение личной безопасности руководства и ведущих сотрудников и специалистов;
• оценка маркетинговых ситуаций и неправомерных действий злоумышленников и конкурентов.

Общие функции службы безопасности.

Служба безопасности предприятия выполняет следующие общие функции:

• организует и обеспечивает пропускной и внутри объектовый режим в зданиях и помещениях, порядок несения службы охраны, контролирует соблюдение требований режима сотрудниками, смежниками, партнерами и посетителями;
• руководит работами по правовому и организационному регулированию отношений по защите коммерческой тайны;
• участвует в разработке основополагающих документов с целью закрепления в них требований обеспечение безопасности и защиты коммерческой тайны, в частности, Устава, Коллективного договора, Правил внутреннего трудового распорядка, Положений о подразделениях, а также трудовых договоров, соглашений, подрядов, должностных инструкций и обязанностей руководства, специалистов, рабочих и служащих;
• разрабатывает и осуществляет совместно с другими подразделениями мероприятия по обеспечению работы с документами, содержащими сведения, являющиеся коммерческой тайной, при всех видах работ, организует и контролирует выполнение требований «инструкции по защите коммерческой тайны";
• изучает все стороны коммерческой, производственной, финансовой и другой деятельности для выявления и закрытия возможных каналов утечки конфиденциальной информации, ведет учет и анализ нарушений режима безопасности, накапливает и анализирует данные о злоумышленных устремлениях конкурентов и других организаций о деятельности предприятия и его клиентов, партнеров, смежников;
• организует и проводит служебные расследования по фактам разглашения сведений, утрат документов и других нарушений безопасности предприятия; разрабатывает, ведет, обновляет и пополняет «Перечень сведений, составляющих коммерческую тайну» и другие;
• нормативные акты, регламентирующие порядок обеспечения безопасности и защиты информации;
• обеспечивает строгое выполнение требований нормативных документов по защите коммерческой тайны;
• осуществляет руководство службами и подразделениями безопасности подведомственных предприятий, организаций, учреждений и других в части оговоренных в договорах условиях по защите коммерческой тайны;
• организует и регулярно проводит учебу сотрудников предприятия и службы безопасности по всем направлениям защиты коммерческой тайны, добиваясь, чтобы к защите коммерческих секретов был глубоко осознанный подход;
• ведет учет сейфов, металлических шкафов, специальных хранилищ и других помещений, в которых разрешено постоянное или временное хранение конфиденциальных документов;
• ведет учет выделенных для конфиденциальной работы помещений, технических средств в них, обладающих потенциальными каналами утечки информации;
• поддерживает контакты с правоохранительными органами и службами безопасности соседних предприятий в интересах изучения криминогенной обстановки в районе (зоне).

Состав службы безопасности.

Служба безопасности является самостоятельной организационной единицей, подчиняющейся непосредственно руководителю предприятия. Возглавляет службу безопасности начальник службы в должности заместителя руководителя предприятия по безопасности. Организационно служба безопасности состоит из следующих структурных единиц:

• отдела режима и охраны, в составе сектора режима и сектора охраны;
• специального отдела в составе сектора обработки секретных документов и сектора обработки документов с грифом «Коммерческая тайна";
• инженерно-технической группы;
• группы безопасности внешней деятельности.

Права, обязанности и ответственность сотрудников службы безопасности.

Сотрудники подразделений службы безопасности в целях обеспечения защиты сведений, составляющих коммерческую тайну, имеют право:

• требовать от всех сотрудников предприятия, партнеров, клиентов строгого и неукоснительного выполнения требований нормативных документов или договорных обязательств по защите коммерческой тайны;
• вносить предложения по совершенствованию правовых, организационных и инженерно-технических мероприятий по защите коммерческой тайны.

Сотрудники службы безопасности обязаны:

• осуществлять контроль за соблюдением «инструкции по защите коммерческой тайны";
• докладывать руководству о фактах нарушения требований нормативных документов по защите коммерческой тайны и других действий, могущих привести к утечке конфиденциальной информации или утрате документов или изделий;
• не допускать неправомерного ознакомления с документами и материалами с грифом «Коммерческая тайна» посторонних лиц.

Сотрудники службы безопасности несут ответственность за личное нарушение безопасности коммерческой тайны и за не использование своих прав при выполнении функциональных обязанностей по защите конфиденциальных сведений сотрудниками предприятия.

Нештатные структуры службы безопасности.

С целью более широкого охвата и качественного исполнения требований защиты коммерческой тайны решением руководства предприятия и службы безопасности могут создаваться отдельные комиссии, решающие определенные контрольно-ревизионные функции на временной или постоянной основе, такие как:

• квартальные или годовые комиссии по проверке наличия, состояния и учета документов (материалов, сведений, ценностей);
• комиссия по оценке возможностей публикации периодических документов, объявлений, проспектов, интервью и других выступлений в печати, на радио и телевидении, семинарах, симпозиумах, конференциях и т.п.;
• периодические проверочные комиссии для проверки знаний и умений выполнять требования нормативных документов по защите коммерческой тайны, а также по оценке эффективности и надежности защитных мероприятий по обеспечению безопасности предприятия.
• Рэкет — вымогательство, обычно принимающее формы организованной преступности с применением угроз, жестокого насилия, взятия заложников.
• В английском языке слово racket означает любую организованную преступную деятельность, в частности protection racket(«крышевание»), но также, например, и numbers racket(незаконную лотерею).
• Собирая дань, преступная организация обычно гарантирует предпринимателям защиту от вымогательств со стороны других преступных групп или преступников-одиночек. Чтобы гарантировать стабильную плату, рэкетиры стремятся брать на себя роль верховного арбитра в спорных ситуациях, связанных с имущественными спорами между своими клиентами (долговые обязательства, исполнение контрактных соглашений).
• Рейдерство — недружественное (в России обычно силовое)поглощение предприятия против воли его собственников, имеющих преимущественное положение в данном предприятии, и/или его руководителя. Захват бизнеса путём рейдерства называют «рейдерским захватом». К рейдерской деятельности также относят корпоративный шантаж («гринмейл»).
• Люди, осуществляющие рейдерство по своей инициативе или по заказу со стороны, называются рейдерами. Термин «рейдер» пришёл в Россию из США. В Соединенных Штатах «рейдерами» именуют атакующую сторону в процессах слияний и поглощений и, в отличие от России, криминального оттенка в этом понятии обычно нет. Но и в английском языке эпитеты корпоративных захватов несут негативные оценочные коннотации, что обычно связывается с тем фактом, что, в отличие от дружественных поглощений, при захватах всегда есть пострадавшие стороны. В России криминальное рейдерство часто освещается в СМИ, в результате термин также приобрел в общественном сознании заметный негативный оттенок.
• Специалисты и компании, которые занимаются противодействием рейдерству, называются антирейдерами, или антирейдерскими агентствами соответственно.

Рейдерство в России

В современной России началом корпоративного рейдерства считается приватизация, когда через процедуры банкротства предприятия со стоимостью активов в миллиарды долларов были куплены за миллионы (ЗИЛ— 4 миллиона долларов,Уралмаш— 3,72 миллиона). Размах рейдерства возрос в начале XXI века и доминирует среди поглощений: в 2002 году в России состоялось 1870 поглощений, из них три четверти (76%) недружественные. С 2004 по 2007 год сумма недружественных сделок возросла более чем в четыре раза. Только за 2008 год МВД зарегистрировало более 3000 обращений о рейдерских захватах. Современное российское рейдерство принято разделять на:

• «белое»— в рамках закона. По мнению некоторых исследователей, в России основная масса «белой» рейдерской деятельности сводится к корпоративному шантажу, то есть созданию с помощью миноритарного пакета акций помех для нормальной работы предприятия в расчёте на то, что руководство компании выкупит этот пакет по завышенной цене, чтобы избавиться от шантажиста. Слабость российских правовых норм и процедур (например, само понятие «поглощение» отсутствует в гражданском и корпоративном законодательстве РФ) приводит к предпочтительности других видов рейдерства, если целью является именно захват предприятия.
• «серое»— с нарушением гражданско-правовых норм.
• «чёрное»— с нарушением уголовного законодательства.

В российской практике существуют несколько законных способов лишить владельца контрольного пакета управления акционерным обществом, а также много существенно отличающихся от рейдерской практики в других странах:

• (законный) владелец контрольного пакета добровольно продаёт свои акции;
• (законный) собрание акционеров принимает решение о дополнительном выпуске акций, и захватчик скупает их;
• (законный) акционер лишается своих акций за долги в силу судебного решения;
• подкуп генерального директора общества с выводом активов из компании;
• подкуп генерального директора общества с продажей им контрольного пакета акций;
• проведение акционерного собрания без кворума с решениями о назначении нового руководства и дополнительном выпуске акций, в результате чего контрольный пакет акций переходит к рейдеру;
• незаконный перевод акций реестродержателем;
• подделка соглашения о продаже акций с предъявлением его реестродержателю;
• подделка долгового обязательства с предъявлением его в суде и получение решения о взыскании задолженности;
• подкуп генерального директора с формированием фиктивной задолженности;
• подкуп генерального директора с доведением компании до банкротства;
• путём оспаривания приватизации: условия для такого рейдерства создаются в тот момент, если приватизация предприятия осуществлена незаконным путём.

Способы защиты от рейдерства

Для защиты от рейдерской деятельности обычно рекомендуются следующие меры:

• наличие и применение чёткой схемы управления предприятием;
• регулярная проверка состояния документов о регистрации, поддержка связи с местными органами-регистраторами;
• прозрачность собственности и адекватная капитализация предприятия;
• совпадение юридического и фактического адреса компании (в случае использования нескольких адресов, возложение на органа-регистратора обязанности высылать расписку о получении документов на регистрацию по всем адресам).

Преднамеренное банкротство — это совершение руководителем или учредителем юридического лица либо индивидуальным предпринимателем действий (бездействия), заведомо влекущих неспособность юридического лица или индивидуального предпринимателя в полном объеме удовлетворить требования кредиторов по денежным обязательствам и (или) исполнить обязанность по уплате обязательных платежей. Преднамеренное банкротство является преступлением, предусмотренным уголовным кодексом (УК РФ) Российской Федерации и кодексом об административных правонарушениях (КоАП РФ). Причем, уголовная ответственность, установленная ст. 196 УК применяется в случае, если эти действия (бездействие) причинили крупный ущерб. На основании примечания к ст. 169 УК РФ крупным ущербом применительно к ст. 196 УК признаётся ущерб в сумме, превышающей один миллион пятьсот тысяч рублей. Если же ущерб составляет менее одного миллиона пятисот тысяч рублей, деяние квалифицируется по ч.2 ст.14.12 КоАП РФ, т.е. предусматривает административную ответственность

Адвокатура — социально-правовой институт, занимающийся защитой прав, свобод и интересов доверителя в суде и иными законными способами. Подобно судейской, адвокат есть общественная должность, задача которой заключается в том, чтобы оберегать права частного лица. Но в то время, когда судья оберегает эти права в силу своей государственной власти, адвокат может помочь только тем, что он предоставляет своё знание законов в распоряжение клиента и старается дать тяжбе благоприятное для последнего направление. Отсюда понятно, что везде, где знание права перестает быть общим достоянием и для этого образуется особое сословие юристов, там и адвокатура должна сомкнуться в тесный кружок юридически образованных защитников. Отечественные авторы выделяют такие уровни экономической безопасности личности:

1. Финансовая защищенность – самый простой уровень экономической безопасности домохозяйства, характеризующийся возможностью поддерживать привычный образ жизни.
2. Финансовая безопасность – уровень экономической безопасности, позволяющий поддерживать привычный уровень расходов при потере постоянного источника доходов, на протяжении 6 (иногда 12) месяцев.
3. Финансовая независимость – уровень экономической безопасности, при котором уровень пассивных доходов позволяет наращивать личный капитал.

На самом деле не столь важны понятия, теоретизировать можно до бесконечности. Важно другое – ментальное понятие необходимости накопления, сбережения, инвестирования, являющееся неотъемлемой частью западной экономической культуры.

Экономическая безопасность России

Экономическая безопасность — основа национальной безопасности страны. Национальная экономическая безопасность — это защищенность экономики страны от внутренних и внешних неблагоприятных факторов, которые нарушают нормальное функционирование экономики, подрывают достигнутый уровень жизни населения. Закон Российской Федерации «О безопасности» определяет экономическую безопасность России как защиту жизненно важных интересов всех жителей страны, российского общества в целом и государства в экономической сфере от внутренних и внешних угроз. Экономическая безопасность является главным компонентом системы национальной безопасности. Гарантии экономической безопасности являются необходимым условием для обеспечения стабильного развития национальной экономики. Угрозы экономической безопасности — такие явления и процессы, которые отрицательно влияют на экономическое состояние страны, ограничивают экономические интересы личности, общества, государства, создают опасность национальным ценностям и национальному образу жизни. Угрозы экономической безопасности подразделяются на внутренние и внешние. К внутренним угрозам экономической безопасности России можно отнести:

• Усиление имущественного расслоения общества. По данным Минэкономразвития РФ, уровень доходов наиболее обеспеченных россиян в 15 раз превышает уровень доходов наименее обеспеченных граждан.
• Криминализацию экономики и общества. Оценки масштабов российской теневой экономики варьируются обычно в интервале $20-40\%$ ВВП. В текущем году Президент РФ Дмитрий Медведев собственным примером показывает и предлагает всем чиновникам обнародовать налоговые декларации.
• Разрушение научно-технического потенциала страны. По абсолютным затратам на науку Россия сегодня примерно в 10 раз уступает Германии, в 14 раз — Японии и в 40— 200 раз — США.

К главным внешним угрозам экономической безопасности России можно отнести:

• Утечка умов за границу. К сожалению, именно Россия является сейчас основным поставщиком высококвалифицированных специалистов за рубеж. И речь в данном случае идет о потере того слоя населения, который смог бы обеспечить России достойное место в мировом сообществе XXI века.
• Бегство капитала за рубеж. Понятие «бегство капитала» означает нелегальный вывоз капитала за границу.
• Рост импортной зависимости по продовольствию и потребительским товарам. Сегодня $80\%$ российского рынка лекарств и более $40\%$ продовольственного рынка России приходится на импорт.
• В интересах реального социально-экономического подъёма России необходимо пересмотреть правительственный курс и провести реформы в структурной, промышленной, валютной политике и в использовании внешнеэкономических связей.

Информационная безопасность
верх

Лекция 1. «Информационная безопасность личности, общества и государства»

Защита информации обычно предусматривает комплексное использование различных средств и методов, принятие соответствующих мер, осуществление необходимых мероприятий с целью системного обеспечения надежности передаваемой, хранимой и обрабатываемой информации. Защитить информацию - это значит:

• обеспечить ее физическую целостность;
• не допустить подмены (модификации) элементов;
• не допустить несанкционированного получения информации лицами или процессами, не имеющими на это соответствующих полномочий;
• быть уверенным в том, что передаваемые (продаваемые) владельцем информации ресурсы будут использоваться только в соответствии с обговоренными сторонами условиями.

Наряду с термином «защита информации» также используется термин "информационная безопасность". В связи с возрастающей ролью информационных ресурсов в жизни современного общества, а также из-за реальности многочисленных угроз с точки зрения их защищенности проблема информационной безопасности требует к себе постоянного и большего внимания Комплексная защита информации понимается как целенаправленное применение различных средств, методов и мероприятий для поддержания заданного уровня защищенности информации по всей совокупности показателей и условий, являющихся существенно значимыми с точки зрения ее безопасности.

Общая характеристика средств и методов защиты информации в компьютерных системах.

• Организационные средства защиты сводятся к регламентации доступа к информационным и вычислительным ресурсам, функциональным процессам обработки данных и др. Организационные мероприятия играют существенную роль в создании надёжного механизма защиты.
• Инженерно-технические средства защиты достаточно широки и многообразны и включают в себя физико-технические, аппаратные, технологические, программные, криптографические и другие средства. В приводимой здесь классификации средств защиты мы будем относить к инженерно-техническим средствам только те, которые создают физически замкнутую среду вокруг элементов защиты.
• Программно-аппаратные средства защиты непосредственно применяются в компьютерах и компьютерных сетях, содержат различные встраиваемые в КС электронные, электромеханические устройства. Специальные пакеты программ или отдельные программы реализуют такие функции защиты, как разграничение и контроль доступа к ресурсам, регистрация и анализ протекающих процессов, событий, пользователей, предотвращение возможных разрушительных воздействий, идентификация и аутентификация пользователей, процессов и др. Существенное повышение информационной безопасности, особенно при передаче данных в КС или при их обмене между удаленными объектами, достигается применением средств криптографической защиты.

Массовая и конфиденциальная информация. Виды тайн.

• В информационных процессах, используется массовая информация, предназначенная для неограниченного круга лиц, и конфиденциальная информация, доступ к которой ограничивается либо собственником, либо законодательством. Конфиденциальная информация может содержать государственную или коммерческую тайну.
• Государственная тайна - государственные сведения о его военной, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности,
• распространение которых может нанести ущерб безопасности государства.
• Понятие "коммерческая тайна" введено еще в 1991 г. законом "О предприятиях в СССР", согласно которому, "под коммерческой тайной понимаются сведения о производстве и выпускаемой продукции, о финансовой деятельности, информация о существующем и прогнозируемом рынке, о научных разработках, о материально-техническом обеспечении, о персонале предприятия, о принципах управления предприятием, об организации системы безопасности.
• Помимо коммерческой тайны, используется понятие банковской тайны. Под банковской тайной подразумевается обязанность учреждения сохранять тайну по операциям клиентов, ограждение банковских операций от ознакомления сними посторонних лиц, прежде всего конкурентов того или иного клиента.

Документированная информация как объект права собственности

• Документированная информация это зафиксированная на материальном носителе информация вместе с реквизитами, позволяющими ее идентифицировать. Представленная в виде текста, звукозаписи или изображения информация предназначена для передачи во времени и пространстве в целях хранения и использования. Именно в документированном виде информация может выступать объектом права собственности. С учетом специфичности информационных отношений и особенностей информационной собственности в этой сфере специально вводятся понятия собственника, владельца и пользователя информационных ресурсов.
• Собственник информационных ресурсов - это субъект, реализующий в полном объеме полномочия владения, пользования, распоряжения объектами.
• Владелец информации - это субъект, осуществляющий владение и пользование информацией и реализующий полномочия распоряжения в пределах прав, установленных законом и (или) собственником информации.
• Пользователь информации - это субъект, пользующийся информацией, полученной от ее собственника, владельца или посредника в соответствии с установленными правами и правилами доступа к информации либо с их нарушением.
• Эти взаимоотношения должны регулироваться и охраняться, с помощью соответствующих структур власти: законодательной власти - судебной власти - исполнительной власти. В этой цепочке главенствующим является именно закон, рассматривающий информацию в качестве, объекта права собственности.

Информационное противоборство. Информационные войны и информационное оружие.

Хранящаяся, передаваемая и обрабатываемая информация, являясь объектом права собственности и нуждается защите. Угрозами нарушения защиты информации могут стать, как случайные, так и преднамеренные явления приводящие к утечке, утрате целостности, конфиденциальности или доступности информации. В результате этого может быть нанесен серьезный ущерб жизненно важным интересам страны, причинен социально-экономический ущерб обществу и отдельным гражданам. Сфера применения информационного оружия не ограничивается исключительно военной областью, а распространяется также на экономическую, банковскую, социальную и т. п. с целью:

• дезорганизации деятельности управленческих структур, транспортных потоков и средств коммуникации;
• блокирования деятельности отдельных предприятий и банков, и т. п.
• инициирования крупных техногенных катастроф на территории противника;
• массового распространения и внедрения в сознание людей определенных представлений;
• вызова недовольства и паники среди населения, и провоцирования деструктивных действий

Объектами применения информационного оружия в мирное и военное время выступают:

• компьютерные и телекоммуникационные системы;
• военная информационная инфраструктура;
• информационные и управленческие структуры предприятий;
• средства массовой информации, и в первую очередь электронные

Информационная безопасность как составляющая национальной безопасности. Государственная политика РФ в области информационной безопасности.

Информация становится сегодня тем главным ресурсом научно-технического и социально-экономического развития общества, который не только не убывает, а неуклонно растет. Целостность современного мира обеспечивается в основном, за счет интенсивного информационного обмена. Информационная инфраструктура общества становится все более уязвимой мишенью для информационной агрессии и терроризма. Вот почему проблема обеспечения безопасности РФ в информационной сфере должна рассматриваться, как одна из приоритетных задач в обеспечении нац. безопасности страны. Определены важнейшие задачи государства в этой области:

• установление баланса между конституционными правами и свободами гражданина;
• информационное обеспечение государственной политики РФ;
• ускорение развития и внедрение новых информационных технологий;
• развитие отечественной индустрии средств информатизации, телекоммуникации и связи;
• обеспечение накопления и эффективного использования информационных ресурсов, защита государственного информационного ресурса;
• разработка соответствующей нормативно-правовой базы и координация деятельности органов государственной власти и других органов, решающих задачи обеспечения информационной безопасности.

Структура государственных органов РФ, обеспечивающих информационную безопасность.

Общее руководство системой ИБ осуществляют Президент и Правительство РФ. Органом исполнительной власти является Совет Безопасности РФ. В состав Совета Безопасности входит Межведомственная комиссия по информационной безопасности. Рабочим органом Межведомственной комиссии по информационной безопасности является Государственная техническая комиссия при Президенте РФ. Эта комиссия обеспечивает работу Межведомственной комиссии по защите государственной тайны. На нее возложена задача руководства лицензированием предприятий, учреждений и организаций, связанных с использованием сведений, составляющих государственную тайну, с созданием средств защиты информации, а также с оказанием услуг по защите гос. тайны. Федеральное агентство правительственной связи и информации при Президенте РФ обеспечивает правительственную связь и информационные технологии государственного управления. В 2003 г. Указом Президента РФ было расформировано ФАПСИ, а его функции распределены между Минобороны и ФСБ РФ.

Угрозы информационной безопасности в компьютерных системах

Современная компьютерная система (КС) является по своему назначению и содержательной сущности информационной системой (ИС), представляющей собой взаимосвязанную совокупность средств, методов и персонала, обеспечивающих сбор, хранение, обработку, передачу и отображение информации в интересах достижения поставленной цели. Функциональной основой любой ИС являются протекающие в ней информационные процессы. Характер этих процессов определяется соответствующей информационной технологией (ИТ). Информационная технология - это совокупность средств и методов сбора, обработки, передачи данных для получения информации нового качества (информационного продукта) о состоянии объекта, процесса или явления. Иначе говоря, информационная технология представляет собой процесс, реализуемый в среде информационной системы. При решении проблемы защиты информации в КС необходимо учитывать противоречивость человеческого фактора. Обслуживающий персонал и пользователи могут быть объектом и источником несанкционированного воздействия на информацию. Таким образом, компьютерная система как объект защиты представляет собой совокупность следующих взаимосвязанных компонентов:

• информационных массивов, представленных на различных машинных носителях;
• средств обработки и передачи данных (компьютерных и телекоммуникационных);
• программных средств, реализующих соответствующие методы, алгоритмы и технологию;
• обслуживающего персонала и пользователей системы.

Понятие угрозы информационной безопасности в КС.

Под угрозой информационной безопасности КС обычно понимают потенциально возможное событие, действие, процесс или явление, которое может оказать нежелательное воздействие на систему и информацию, которая в ней хранится и обрабатывается. Независимо от специфики конкретных видов угроз информационная безопасность должна сохранять целостность, конфиденциальность, доступность. Целостность информации заключается в ее существовании в неискаженном виде. Угроза нарушения целостности включает в себя любое умышленное изменение информации, хранящейся в компьютерной системе или передаваемой из одной системы в другую. Конфиденциальность информации - это свойство, указывающее на необходимость введения ограничений на круг субъектов, имеющих доступ к данной информации. Доступность информации — это свойство системы, в которой циркулирует информация, характеризующее способность обеспечивать своевременный и беспрепятственный доступ субъектов к интересующей их информации и готовность соответствующих автоматизированных служб к обслуживанию поступающих от субъектов запросов всегда, когда в этом возникает необходимость. Информация никогда не представляется «в чистом виде", на пути к ней имеется хотя бы какая-нибудь система защиты, и поэтому, чтобы угрожать, скажем, нарушением конфиденциальности, атакующая сторона должна преодолеть эту систему. Для преодоления существующей системы защиты необходимо предварительно получить тем или иным способом данные о параметрах и характеристиках этой системы. В связи с этим угроза раскрытия параметров КС, включая параметры ее системы защиты, обычно рассматривается как еще один вид угроз информационной безопасности.

Лекция 2. «Комплексная система защиты информации на предприятии»

Защита информации в компьютерных системах от случайных угроз. Защита информации от утечки по техническим каналам. Защита информации в компьютерных системах от несанкционированного вмешательства. Криптографические методы защиты. Компьютерные вирусы и антивирусные программные средства. Комплексная система защиты информации на предприятии.

Сравнительный анализ стандартов информационной безопасности

Опыт эксплуатации существующих компьютерных систем обработки информации показывает, что проблема обеспечения безопасности еще далека от своего решения, а предлагаемые производителями различных систем средства защиты сильно различаются как по решаемым задачам и используемым методам, так и по достигнутым результатам. Это определяет актуальность проблемы построения защищенных систем обработки информации, решение которой следует начать с анализа причин сложившейся ситуации. Проблема защиты машинной информации на современном уровне развития информатизации общества столь важна и многогранна, что заслуживает более подробного рассмотрения, чем другие аспекты автоматизации профессиональной деятельности. Более подробные сведения можно найти в других источниках. Для того чтобы объединить усилия всех специалистов в направлении конструктивной работы над созданием защищенных систем, необходимо определить, что является целью исследований, что мы хотим получить в результате и чего в состоянии достичь. Для ответа на эти вопросы и согласования всех точек зрения на проблему создания защищенных систем разработаны и продолжают разрабатываться стандарты информационной безопасности. Это документы, регламентирующие основные понятия и концепции информационной безопасности на государственном или межгосударственном уровне, определяющие понятие «защищенная система» посредством стандартизации требований и критериев безопасности, образующих шкалу оценки степени защищенности вычислительных систем (ВС). В соответствии с этими документами защищенная система обработки информации представляет собой систему, отвечающую тому или иному стандарту информационной безопасности. Этот факт позволяет сопоставлять степени защищенности различных систем относительно установленного стандарта.

Политика безопасности — совокупность норм и правил, обеспечивающих эффективную защиту системы обработки информации от заданного множества угроз. Модель безопасности — формальное представление политики безопасности. Дискреционное, или произвольное, управление доступом — управление доступом, основанное на совокупности правил предоставления доступа, определенных на множестве атрибутов безопасности субъектов и объектов, например, в зависимости от грифа секретности информации и уровня допуска пользователя. Ядро безопасности — совокупность аппаратных, программных и специальных компонентов ВС, реализующих функции защиты и обеспечения безопасности. Идентификация — процесс распознавания сущностей путем присвоения им уникальных меток (идентификаторов). Аутентификация — проверка подлинности идентификаторов сущностей с помощью различных (преимущественно криптографических) методов. Адекватность — показатель реально обеспечиваемого уровня безопасности, отражающий степень эффективности и надежности реализованных средств защиты и их соответствия поставленным задачам (в большинстве случаев это задача реализации политики безопасности). Квалификационный анализ, квалификация уровня безопасности — анализ ВС с целью определения уровня ее защищенности и соответствия требованиям безопасности на основе критериев стандарта безопасности. Таксономия — наука о систематизации и классификации сложно организованных объектов и явлений, имеющих иерархическое строение. Таксономия основана на декомпозиции явлений и поэтапном уточнении свойств объектов (иерархия строится сверху вниз). Прямое взаимодействие — принцип организации информационного взаимодействия (как правило, между пользователем и системой), гарантирующий, что передаваемая информация не подвергается перехвату или искажению. Защищенная система обработки информации для определенных условий эксплуатации обеспечивает безопасность (доступность, конфиденциальность и целостность) обрабатываемой информации и поддерживает свою работоспособность в условиях воздействия на нее заданного множества угроз. Под защищенной системой обработки информации предлагается понимать систему, которая:

• осуществляет автоматизацию некоторого процесса обработки конфиденциальной информации, включая все аспекты этого процесса, связанные с обеспечением безопасности обрабатываемой информации;
• успешно противостоит угрозам безопасности, действующим в определенной среде;
• соответствует требованиям и критериям стандартов информационной безопасности.

Отсюда вытекают следующие задачи, которые необходимо и достаточно решить, для того чтобы создать защищенную систему обработки информации, а именно:

• в ходе автоматизации процесса обработки конфиденциальной информации реализовать все аспекты этого процесса, связанные с обеспечением безопасности обрабатываемой информации;
• обеспечить противодействие угрозам безопасности, действующим в среде эксплуатации защищенной системы;
• реализовать необходимые требования соответствующих стандартов информационной безопасности.

Угрозы безопасности компьютерных систем. Под угрозой безопасности компьютерных систем понимаются воздействия на систему, которые прямо или косвенно могут нанести ущерб ее безопасности. Приведем наиболее общую классификацию возможных угроз безопасности. Все угрозы можно разделить по их источнику и характеру проявления. Случайные угрозы возникают независимо от воли и желания людей. Данный тип угроз связан прежде всего с прямым физическим воздействием на элементы компьютерной системы (чаще всего природного характера) и ведет к нарушению работы этой системы и/или физическому уничтожению носителей информации, средств обработки и передачи данных, физических линий связи. Причиной возникновения технических угроз случайного характера могут быть как сбои вследствие ошибок персонала (порожденные людьми), так и случайные нарушения в работе оборудования системы (например, вследствие поломки какого-либо узла или устройства, сбоя в работе ПО или элементарное короткое замыкание). Последствиями подобных событий могут быть отказы и сбои аппаратуры, искажение или уничтожение информации, нарушение линий связи, ошибки и физический вред персоналу. Примером реализации случайной угрозы, созданной людьми, может быть физическое нарушение проводных линий связи из-за проведения строительных работ. Другими словами, угрозы данного типа возникают вследствие каких-либо действий людей, целью которых не является нанесение физического вреда и нарушение функционирования работы компьютерной системы и/или отдельных ее сегментов и ресурсов, однако побочный эффект данных действий приводит к нарушениям и сбоям в работе системы. Преднамеренные угрозы в отличие от случайных могут быть созданы только людьми и направлены именно на дезорганизацию компьютерной системы. Примером реализации такой угрозы может быть как физическое уничтожение аппаратуры и сетевых коммуникаций системы, так и нарушение ее целостности и доступности, а также конфиденциальности обрабатываемой и хранимой ею информации с применением средств и ресурсов самой системы, а также с использованием дополнительного оборудования. Ниже приведена более подробная классификация угроз информационной безопасности в зависимости от их источника.

1. Природные угрозы.
• Стихийные бедствия.
• Магнитные бури.
• Радиоактивное излучение и осадки.
• Другие.
2. Угрозы техногенного характера.
• Отключения или колебания электропитания и сбои в работе других средств обеспечения функционирования системы.
• Отказы и сбои в работе аппаратно-программных средств компьютерной системы.
• Электромагнитные излучения и наводки.
• Утечки через каналы связи: оптические, электрические, звуковые.
• Другие.
3. Угрозы, созданные людьми.
• Непреднамеренные действия.
1. Обслуживающего персонала.
2. Управленческого персонала.
3. Программистов.
4. Пользователей.
5. Архивной службы.
6. Службы безопасности.
• Преднамеренные действия.
1. Обслуживающего персонала.
2. Управленческого персонала.
3. Программистов.
4. Пользователей.
5. Архивной службы.
6. Службы безопасности.
7. Хакерские атаки.

Угрозы техногенного характера связаны с надежностью работы аппаратно-программных средств компьютерной системы. При этом угрозы подгруппы 2.1 связаны с внезапным временным прекращением работы системы и ведут к потерям информации и управления объектами системы. Угрозы подгруппы 2.2 связаны с надежностью работы аппаратно-программных средств и ведут к искажению и потерям информации, нарушениям в управлении объектами. Угрозы подгруппы 2.3 связаны с наличием электромагнитных излучений, за счет которых может происходить несанкционированный перенос информации за пределы защищаемой системы. Угрозы подгруппы 2.4 связаны с утечкой информации через легальные каналы связи за счет использования специального оборудования. Угрозы группы 3 связаны с людьми, непосредственно работающими с компьютерной системой. Непреднамеренные угрозы связаны со случайными действиями пользователей, ошибками операторов, программистов, управленческого персонала, сотрудников архивной службы и службы безопасности и ведут к искажению или уничтожению информации, нарушению функционирования, управления и безопасности системы, а также ошибкам и сбоям в работе программно-аппаратных средств. Угрозы, «носителями» которых являются хакерские атаки, связаны с преднамеренными действиями людей, направленными на нанесение ущерба системе с использованием средств и возможностей штатного оборудования системы и любых других возможностей, которые могут быть получены с применением всех имеющихся на данный момент времени информационных технологий. Данная группа угроз является наиболее многочисленной. Необходимо особо отметить такой вид угроз, как внедрение компьютерных вирусов, программ — «троянских коней», логических бомб и т.д. Данный вид угроз может относиться как к группе 3.1, так и к группе 3.2 в связи с тем, что программы такого типа могут быть специально разработанными «боевыми вирусами» или специально внедренными программными закладками для выведения из строя объектов системы, однако схожими по возможным последствиям могут быть и результаты проявления так называемых недокументированных возможностей вполне «мирного» ПО (например, сетевой ОС), являющиеся следствием непреднамеренных ошибок, допущенных создателями программно-аппаратных средств. Самым ярким примером проявления недокументированных возможностей является инцидент с «червем» Морриса, первым сетевым компьютерным вирусом. Изначально данная программа предназначалась для удаленного тестирования UNIX-машин, однако после запуска 2 ноября 1988 г. программа вышла из-под контроля автора и начала быстро перемещаться по сети, загружая ОС хостов сети своими копиями и вызывая отказы в обслуживании. Формально данное программное средство не наносило ущерба информации на «зараженных» им хостах, однако вызывало необходимость проведения комплекса профилактических работ по восстановлению работоспособности данных хостов. Общие потери от описанного выше инцидента составили почти 100 млн долл. США.

Таким образом, перед защитой систем обработки информации стоит довольно сложная задача — противодействие бурно развивающимся угрозам безопасности. Следовательно, безопасная, или защищенная, система — это система, обладающая средствами защиты, которые успешно и эффективно противостоят угрозам безопасности. Главная задача стандартов информационной безопасности — создать основу для взаимодействия между производителями, потребителями и экспертами по квалификации продуктов информационных технологий (ИТ). Каждая из этих групп имеет свои интересы и свои взгляды на проблему информационной безопасности. Таким образом, перед стандартами информационной безопасности стоит непростая задача — примирить взгляды этих сторон и создать эффективный механизм взаимодействия между ними. Критерии безопасности компьютерных систем Министерства обороны США («Оранжевая книга»). Они были разработаны Министерством обороны США в 1983 г. с целью определения требований безопасности, предъявляемых к аппаратному, программному и специальному обеспечению компьютерных систем и выработки соответствующей методологии и технологии анализа степени поддержки политики безопасности в компьютерных системах экономического назначения. Согласно «Оранжевой книге», безопасная компьютерная система — это система, поддерживающая управление доступом к обрабатываемой в ней информации так, что только соответствующим образом авторизованные пользователи или процессы, действующие от их имени, получают возможность читать, писать, создавать и удалять информацию. В «Оранжевой книге» предложены три категории требований безопасности — политика безопасности, аудит и корректность, в рамках которых сформулированы шесть базовых требований безопасности.

• Требование 1. Политика безопасности. Система должна поддерживать точно определенную политику безопасности.
• Требование 2. Метки. С объектами должны быть ассоциированы метки безопасности, используемые в качестве атрибутов контроля доступа.
• Требование 3. Идентификация и аутентификация. Все субъекты должны иметь уникальные идентификаторы.
• Требование 4. Регистрация и учет. Для определения степени ответственности пользователей за действия в системе все происходящие в ней события, имеющие значение с точки зрения безопасности, должны отслеживаться и регистрироваться в защищенном протоколе.
• Требование 5. Контроль корректности функционирования средств защиты. Средства защиты должны содержать независимые аппаратные и/или программные компоненты, обеспечивающие работоспособность функций защиты.
• Требование 6. Непрерывность защиты. Все средства защиты (в том числе и реализующие данное требование) должны быть защищены от несанкционированного вмешательства и/или отключения, причем эта защита должна быть постоянной и непрерывной в любом режиме функционирования системы защиты и компьютерной системы в целом.

Приведенные выше базовые требования к безопасности служат основой для критериев, образующих единую шкалу оценки безопасности компьютерных систем, определяющую семь классов безопасности. «Оранжевая книга» предусматривает четыре группы критериев, которые соответствуют различной степени защищенности: от минимальной (группа D) до формально доказанной (группа А). Уровень безопасности возрастает при движении от группы Dк группе А, а внутри группы — с возрастанием номера класса.

• ГруппаD. Минимальная защита.
• Класс D. Минимальная защита. К этому классу относятся все системы, которые не удовлетворяют требованиям других классов.
• Группа С. Дискреционная защита.
• Класс С1. Дискреционная защита. Системы этого класса удовлетворяют требованиям обеспечения разделения пользователей и информации и включают средства контроля и управления доступом, позволяющие задавать ограничения для индивидуальных пользователей, что дает им возможность защищать свою приватную информацию от других пользователей.
• Класс С2. Управление доступом. Системы этого класса осуществляют более избирательное управление доступом, чем системы класса С1, с помощью применения средств индивидуального контроля за действиями пользователей, регистрацией, учетом событий и выделением ресурсов.
• ГруппаВ. Мандатная защита.
• Класс В1. Защита с применением меток безопасности.
• Класс В2. Структурированная защита. Угроза безопасности системы должна поддерживать формально определенную и четко документированную модель безопасности, предусматривающую произвольное нормативное управление доступом, которое распространяется по сравнению с системами класса В1 на все субъекты.
• Класс В3. Домены безопасности. Угроза безопасности системы должна поддерживать монитор взаимодействий, который контролирует все типы доступа субъектов к объектам и который невозможно обойти. Кроме того, угроза безопасности должна быть структурирована с целью исключения из нее подсистем, не отвечающих за реализацию функций защиты, и быть достаточно компактной для эффективного тестирования и анализа.
• ГруппаА. Верифицированная защита.
• Класс А1. Формальная верификация. Системы класса А1 функционально эквивалентны системам класса В3, к ним не предъявляются никакие дополнительные функциональные требования. В отличие от систем класса В3 в ходе разработки должны применяться формальные методы верификации, что позволяет с высокой уверенностью получить корректную реализацию функций защиты.

Приведенные классы безопасности надолго определили основные концепции безопасности и ход развития средств защиты. Для того чтобы исключить возникшую в связи с изменением аппаратной платформы некорректность некоторых положений «Оранжевой книги», адаптировать их к современным условиям и сделать адекватными нуждам разработчиков и пользователей программного обеспечения, и была проделана огромная работа по интерпретации и развитию положений этого стандарта. В результате возник целый ряд сопутствующих «Оранжевой книге» документов, многие из которых стали ее неотъемлемой частью. К наиболее часто упоминаемым относятся:

1. руководство по произвольному управлению доступом в безопасных системах;
2. руководство по управлению паролями;
3. руководство по применению критериев безопасности компьютерных систем в специфических средах.

В 1995 г. Национальным центром компьютерной безопасности США был опубликован документ под названием «Интерпретация критериев безопасности компьютерных систем», объединяющий все дополнения и разъяснения. Европейские критерии безопасности информационных технологий. Для того чтобы удовлетворить требованиям конфиденциальности, целостности и работоспособности, в Европейских критериях впервые вводится понятие «адекватность средств защиты». Адекватность включает в себя:

• эффективность, отражающую соответствие средств безопасности решаемым задачам;
• корректность, характеризующую процесс их разработки и функционирования.

Общая оценка уровня безопасности системы складывается из функциональной мощности средств защиты и уровня адекватности их реализации. Набор функций безопасности может специфицироваться с использованием ссылок на заранее определенные классы-шаблоны. В Европейских критериях таких классов десять. Пять из них (F-C1, F-C2, F-B1, F-B2, F-B3) соответствуют соответствующим классам безопасности «Оранжевой книги» с аналогичными обозначениями. Рассмотрим другие пять классов, так как их требования отражают точку зрения разработчиков стандарта на проблему безопасности.

• Класс F-INпредназначен для систем с высокими потребностями в обеспечении целостности, что типично для систем управления базами данных.
• Класс F-AVхарактеризуется повышенными требованиями к обеспечению работоспособности.
• Класс F-DIориентирован на распределенные системы обработки информации.
• Класс F-DCуделяет особое внимание требованиям конфиденциальности передаваемой информации.
• Класс F-DXпредъявляет повышенные требования и к целостности, и к конфиденциальности информации.

Европейские критерии определяют семь уровней адекватности — от Е0 до Е6 (в порядке возрастания). Уровень ЕО обозначает минимальную адекватность (аналог уровня D«Оранжевой книги»). При проверке адекватности анализируется весь жизненный цикл системы — от начальной фазы проектирования до эксплуатации и сопровождения. Уровни адекватности от Е1 до Е6 выстроены по нарастанию требований тщательности контроля. Так, на уровне E1 анализируется общая архитектура системы, а адекватность средств защиты подтверждается функциональным тестированием. На уровне Е3 к анализу привлекаются исходные тексты программ и схемы аппаратного обеспечения. На уровне Е6требуется формальное описание функций безопасности, общей архитектуры, а также политики безопасности. Руководящие документы Гостехкомиссии России. В 1992 г. Гостехкомиссия при Президенте РФ опубликовала пять руководящих документов (РД), посвященных вопросам защиты от несанкционированного доступа (НСД) к информации. Важнейшие из них:

1. «Концепция защиты средств вычислительной техники от НСД к информации»;
2. «Средства вычислительной техники. Защита от НСД к информации. Показатели защищенности от НСД к информации»;
3. «Автоматизированные системы. Защита от НСД к информации. Классификация автоматизированных систем и требования по защите информации».

Идейной основой этих документов является «Концепция защиты средств вычислительной техники от НСД к информации», содержащая систему взглядов Гостехкомиссии на проблему информационной безопасности и основные принципы защиты компьютерных систем. Основная и едва ли не единственная задача средств безопасности в этих документах — это обеспечение защиты от НСД к информации. Если средствам контроля и обеспечения целостности еще уделяется некоторое внимание, то поддержка работоспособности систем обработки информации вообще не упоминается. Все это объясняется тем, что эти документы были разработаны в расчете на применение в информационных системах Министерства обороны Российской Федерации и спецслужб, а также недостаточно высоким уровнем информационных технологий этих систем по сравнению с современным. Руководящие документы Гостехкомиссии предлагают две группы критериев безопасности:

• показатели защищенности средств вычислительной техники (СВТ) от НСД;
• критерии защищенности автоматизированных систем (АС) обработки данных.

Данный РД устанавливает классификацию СВТ по уровню защищенности от НСД к информации на базе перечня показателей защищенности и совокупности описывающих их требований. Данные показатели содержат требования защищенности СВТ от НСД к информации и применяются к общесистемным программным средствам и операционным системам. Конкретные перечни показателей определяют классы защищенности СВТ и описываются совокупностью требований. Установлено семь классов защищенности СВТ от НСД к информации. Самый низкий класс — седьмой, самый высокий — первый. В отличие от остальных стандартов отсутствует раздел, содержащий требования по обеспечению работоспособности системы, зато присутствует раздел, посвященный криптографическим средствам. Требования к средствам защиты АС от НСД включают следующие подсистемы.

1. Подсистема управления доступом.
2. Подсистема регистрации и учета.
3. Криптографическая подсистема.
4. Подсистема обеспечения целостности.

Документы Гостехкомиссии устанавливают девять классов защищенности АС от НСД, каждый из которых характеризуется определенной совокупностью требований к средствам защиты. Классы подразделяются на три группы, отличающиеся спецификой обработки информации в АС. Группа АС определяется на основании следующих признаков:

• наличие в АС информации различного уровня конфиденциальности.
• уровень полномочий пользователей АС на доступ к конфиденциальной информации.
• режим обработки данных в АС (коллективный или индивидуальный).

Федеральные критерии безопасности информационных технологий. Это первый стандарт информационной безопасности, в котором определяются три независимые группы требований: функциональные требования к средствам защиты, требования к технологии разработки и к процессу квалификационного анализа. Авторами этого стандарта впервые предложена концепция Профиля защиты — документа, содержащего описание всех требований безопасности как к самому продукту информационных технологий (ИТ-продукту), так и к процессу его проектирования, разработки, тестирования и квалификационного анализа. Функциональные требования безопасности хорошо структурированы и описывают все аспекты функционирования угрозы безопасности. Требования к технологии разработки, впервые появившиеся в этом документе, побуждают производителей использовать современные технологии программирования как основу для подтверждения безопасности своего продукта. Разработчики Федеральных критериев отказались от используемого в «Оранжевой книге» подхода к оценке уровня безопасности ИТ-продукта на основании обобщенной универсальной шкалы классов безопасности. Вместо этого предлагается независимое ранжирование требований каждой группы, т.е. вместо единой шкалы используется множество частных шкал-критериев, характеризующих обеспечиваемый уровень безопасности. Данный подход позволяет разработчикам и пользователям ИТ-продукта выбрать наиболее приемлемое решение и точно определить необходимый и достаточный набор требований для каждого конкретного ИТ-продукта и среды его эксплуатации. Этот стандарт рассматривает устранение недостатков существующих средств безопасности как одну из задач защиты наряду с противодействием угрозам безопасности и реализацией модели безопасности.

Единые критерии безопасности информационных технологий. Представляют собой результат обобщения всех достижений последних лет в области информационной безопасности. Впервые документ такого уровня содержит разделы, адресованные потребителям, производителям и экспертам по квалификации ИТ-продуктов. Предложенные Едиными критериями механизмы Профиля защиты и Проекта защиты позволяют потребителям и производителям в полной мере выразить свой взгляд на требования безопасности и задачи защиты и дают возможность экспертам по квалификации проанализировать взаимное соответствие между требованиями, нуждами потребителей, задачами защиты и средствами защиты ИТ-продукта. В отличие от Профиля защиты Федеральных критериев, который ориентирован исключительно на среду применения ИТ-продукта, Профиль защиты Единых критериев предназначен непосредственно для удовлетворения запросов потребителей. Разработчики Единых критериев отказались (как и разработчики Федеральных критериев) от единой шкалы безопасности и усилили гибкость предложенных в них решений путем введения частично упорядоченных шкал, благодаря чему потребители и производители получили дополнительные возможности по выбору требований и их адаптации к своим прикладным задачам. Особое внимание этот стандарт уделяет адекватности реализации функциональных требований, которая обеспечивается как независимым тестированием и анализом ИТ-продукта, так и применением соответствующих технологий на всех этапах его проектирования и реализации. Таким образом, требования Единых критериев охватывают практически все аспекты безопасности ИТ-продуктов и технологии их создания, а также содержат все исходные материалы, необходимые потребителям и разработчикам для формирования Профилей и Проектов защиты. Кроме того, требования Единых критериев являются практически всеобъемлющей энциклопедией информационной безопасности, поэтому их можно использовать в качестве справочника безопасности информационных технологий. Анализ стандартов информационной безопасности. Главная задача стандартов информационной безопасности — согласовать позиции и цели производителей, потребителей и аналитиков-классификаторов в процессе создания и эксплуатации продуктов информационных технологий. Каждая из перечисленных категорий специалистов оценивает стандарты и содержащиеся в них требования и критерии по своим собственным параметрам. В качестве обобщенных показателей, характеризующих стандарты информационной безопасности и имеющих значение для всех трех сторон, предлагается использовать универсальность, гибкость, гарантированность, реализуемость и актуальность.

Универсальность. «Оранжевая книга» предназначалась для систем военного времени, ее адаптация для распределенных систем и баз данных потребовала разработки дополнительных документов. В Европейские критерии вошли распределенные системы, сети, системы телекоммуникаций и СУБД, но в нем по-прежнему явным образом оговаривается архитектура и назначение систем, к которым он может быть применен, и никак не регламентируется среда их эксплуатации. Документы Гостехкомиссии имеют довольно ограниченную сферу применения — это персональные и многопользовательские системы, причем ориентация системы на обслуживание конечных пользователей является обязательным условием. Федеральные критерии подняли область применения стандартов на новый уровень, начав рассматривать в качестве объекта их применения любые продукты информационных технологий независимо от их назначения, проводя различие только между характеристиками среды их эксплуатации. Канадские критерии рассматривают в качестве области своего применения все типы компьютерных систем. Единые критерии предложили такую технологию создания ИТ-продуктов, при которой использование данного стандарта является неотъемлемым компонентом. Гибкость. Требования «Оранжевой книги» оказались слишком абстрактными для непосредственного применения во многих случаях, что потребовало их дополнения. Европейские критерии предусмотрели специальные уровни и требования, рассчитанные на типовые системы (СУБД, телекоммуникации и т.д.). Документы Гостехкомиссии подробно регламентируют реализацию функций защиты (например, это единственный стандарт, который в ультимативной форме требует применения криптографии), что значительно снижает удобство их использования — в конкретных ситуациях многие требования часто оказываются избыточными и ненужными. Федеральные критерии впервые предложили механизм Профилей защиты, с помощью которых можно создавать специальные наборы требований, соответствующие запросам потребителей конкретного продукта и угрозам среды его эксплуатации. Канадские критерии не рассматривают Профиль защиты в качестве обязательного элемента безопасности информационных технологий, и также обладают определенной спецификой в своем подходе к основным понятиям безопасности, поэтому их гибкость можно оценить только как достаточную. Единые критерии обладают практически совершенной гибкостью, так как позволяют потребителям выразить свои требования с помощью механизма Профилей защиты, в форме инвариантной к механизмам реализации, а производителям — продемонстрировать с помощью Проекта защиты, как эти требования преобразуются в задачи и реализуются на практике.

Гарантированность. «Оранжевая книга» предусматривала обязательное применение формальных методов верификации только при создании систем высшего класса защищенности (класс А). В Европейских критериях появляется специальный раздел требований — требования адекватности, которые регламентируют технологию и инструментарий разработки, а также контроль за процессами проектирования и разработки. Документы Гостехкомиссии практически полностью проигнорировали этот ключевой аспект безопасности информационных технологий и обходят данный вопрос молчанием. Федеральные критерии содержат два специальных раздела требований, посвященных этому аспекту безопасности, содержащие требования к технологии разработки и к процессу квалификационного анализа. Канадские критерии включают раздел требований адекватности, количественно и качественно ни в чем не уступающий разделу функциональных требований. Единые критерии рассматривают гарантированность реализации защиты как самый важный компонент информационной безопасности и предусматривают многоэтапный контроль на каждой стадии разработки ИТ-продукта, позволяющий подтвердить соответствие полученных результатов поставленным целям путем доказательства адекватности задач защиты требованиям потребителей, адекватности Проекта защиты Единым критериям и адекватности ИТ-продукта Проекту защиты. Реализуемость. Плохие показатели реализуемости говорят о практической бесполезности стандарта, поэтому все документы отвечают этому показателю в достаточной или высокой степени. Единые критерии и здесь оказались на практически недосягаемой для остальных стандартов высоте за счет потрясающей степени подробности функциональных требований (135 требований), фактически служащих исчерпывающим руководством по разработке защищенных систем. Отметим, что это единственный показатель, по которому документы Гостехкомиссии не отстают от остальных стандартов информационной безопасности. Актуальность. «Оранжевая книга» содержит требования, в основном направленные на противодействие угрозам конфиденциальности, что объясняется ее ориентированностью на системы экономического назначения. Европейские критерии находятся примерно на том же уровне, хотя и уделяют угрозам целостности гораздо больше внимания. Документы Гостехкомиссии с точки зрения этого показателя выглядят наиболее отсталыми — уже в самом их названии определена единственная рассматриваемая в них угроза — НСД. Федеральные критерии рассматривают все виды угроз достаточно подробно и предлагают механизм Профилей защиты для описания угроз безопасности, присущих среде эксплуатации конкретного ИТ-продукта, что позволяет учитывать специфичные виды угроз. Канадские критерии ограничиваются типовым набором угроз безопасности. Единые критерии ставят во главу угла удовлетворение нужд пользователей и предлагают для этого соответствующие механизмы (Профиль и Проект защиты), что дает возможность выстроить на их основе динамичную и постоянно адаптирующуюся к новым задачам технологию создания безопасных информационных систем.

Исследование причин нарушений безопасности

Проведение анализа успешно реализовавшихся угроз безопасности (атак) с целью их обобщения, классификации и выявления причин и закономерностей их появления и существования позволяет при разработке и создании защищенных систем сконцентрировать основные усилия именно на устранении этих причин путем исправления выявленных в механизмах защиты недостатков, что позволяет эффективно противостоять угрозам безопасности. Уязвимость защиты (УЗ) — совокупность причин, условий и обстоятельств, наличие которых в конечном итоге может привести к нарушению нормального функционирования ВС и нарушению безопасности (НСД, ознакомление, уничтожение или искажение данных). В 70-х гг. XX в. были предприняты попытки формального описания и систематизации информации об УЗ. Исследования проводились по проектам RISOS(Исследование безопасности защищенных операционных систем) и РА (Анализ защиты). Предлагаемые методики поиска ошибок безопасности в ОС достаточно ограничены в практическом применении. Это можно объяснить предпринятой попыткой обеспечить универсальность методик, что отрицательно сказалось на возможности их развития и адаптации для новых ОС. Усилия исследователей слишком рано были перенаправлены от изучения УЗ в сторону разработки универсальной технологии создания защищенных ОС, свободных от подобных ошибок. С точки зрения технологии создания защищенных систем наибольшее значение имеют следующие вопросы, на которые должна дать ответ таксономия УЗ. Ошибки в системах защиты, служащие источником появления УЗ, могут быть следующими.

• Преднамеренные.
1. С наличием деструктивных функций (активные):
• разрушающие программные средства (РПС) (не самовоспроизводящиеся РПС («троянские кони»), самовоспроизводящиеся РПС (вирусы));
• черные ходы, люки, скрытые возможности проникновения в систему.
2. Без деструктивных функций (пассивные),
• скрытые каналы утечки информации:
1. с использованием памяти (для кодирования передаваемой информации в этом случае используется либо область памяти, не имеющая важного значения (например, установление характеристик признаков в имени и атрибутах файла), либо вообще неиспользуемая область (например, зарезервированные поля в заголовке сетевого пакета));
2. с использованием времени (в этом случае информация кодируется определенной последовательностью и длительностью событий, происходящих в системе (например, с помощью модуляции интервалов обращения к устройствам, введения задержек между приемом и посылкой сетевых пакетов и т.д.));
• другие (к их появлению обычно приводят расхождения между требованиями безопасности и требованиями к функциональным возможностям ВС).
• Непреднамеренные.
1. Ошибки контроля допустимых значений параметров.
2. Ошибки определения областей (доменов).
3. Ошибки последовательностей действий и использования нескольких имен для одного объекта.
4. Ошибки идентификации/аутентификации.
5. Ошибки проверки границ объектов.
6. Другие ошибки в логике функционирования.

Этап внедрения ошибки и возникновения УЗ может происходить:

• на стадии разработки (ошибки при проектировании; ошибки при написании программ);
• стадии настройки систем;
• стадии сопровождения;
• стадии эксплуатации.

Классификация УЗ по размещению в системе:

1. Программное обеспечение:
• операционная система:
1. инициализация (загрузка);
2. управление выделением памяти;
3. управление процессами;
4. управление устройствами;
5. управление файловой системой;
6. средства идентификации и аутентификации;
7. другие;
• сервисные программы и утилиты:
1. привилегированные утилиты;
2. непривилегированные утилиты;
• прикладные программы.
2. Аппаратное размещение.

Таксономия причин возникновения УЗ должна дать ответ на имеющий ключевое значение с практической точки зрения вопрос: что явилось причиной успешного осуществления нарушения безопасности в том или ином случае? Для ответа на этот вопрос необходимо выявить те свойства и особенности архитектуры ВС, которые привели к возможности успешного осуществления соответствующих атак. Только знание природы этих причин позволит оценить способность системы противостоять атакам на ее безопасность, а также понять природу недостатков, присущих существующим средствам обеспечения безопасности, которые привели к соответствующим нарушениям, и построить защищенную систему, лишенную этих недостатков. К причинам нарушения безопасности ВС относятся:

1. предопределенный на стадии разработки требований выбор модели безопасности, не соответствующей назначению или архитектуре ВС;
2. причины, обусловленные принципами организации системы обеспечения безопасности:
• неправильное внедрение модели безопасности;
• отсутствие идентификации и/или аутентификации субъектов и объектов;
• отсутствие контроля целостности средств обеспечения безопасности;
3. причины, обусловленные реализацией:
• ошибки, допущенные в ходе программной реализации средств обеспечения безопасности;
• наличие средств отладки и тестирования в конечных продуктах;
4. ошибки администрирования.

Предложенный подход к классификации причин нарушения безопасности в отличие от существующих подходов позволяет определить полное множество независимых первопричин нарушений безопасности, образующих ортогональное пространство факторов, определяющих реальную степень безопасности системы. Сопоставление таксономии причин нарушений безопасности и классификации источников появления УЗ демонстрирует тот факт, что источником появления наибольшего количества категорий УЗ является неправильное внедрение модели безопасности и ошибки в ходе программной реализации. Это означает, что эти причины являются более значимыми и должны быть устранены в первую очередь. Сопоставление между причинами нарушений безопасности и классификацией УЗ по этапу внесения показывает, что появление основных причин нарушения безопасности закладывается на этапе разработки, причем в основном на стадии задания спецификаций. Это вполне ожидаемый результат, так как именно этап составления спецификаций является одним из самых трудоемких, а последствия ошибок в спецификациях сказываются на всех последующих этапах разработки и распространяются на все взаимосвязанные компоненты системы. Перекрестный анализ таксономии причин нарушений безопасности и классификация УЗ по источнику появления и этапу внесения показывают, что наиболее значимые причины (неправильное внедрение модели безопасности и ошибки программной реализации) действуют в ходе процесса разработки и реализации. Следовательно, именно на этих этапах должны быть сосредоточены основные усилия при создании защищенных систем.

Способы и средства защиты информации

Необходимость обеспечения скрытности (секретности) отдельных замыслов, действий, сообщений возникла в глубокой древности, практически вместе с началом осмысленной человеческой деятельности. Иными словами, организация защиты части информации от нежелательного (несанкционированного) доступа к ней — проблема столь же древняя, как и само понятие «информация». На современном этапе существуют следующие предпосылки сложившейся кризисной ситуации обеспечения безопасности информационных систем (ИС):

• современные компьютеры за последние годы приобрели большую вычислительную мощность, но одновременно с этим стали гораздо проще в эксплуатации;
• прогресс в области аппаратных средств сочетается с еще более бурным развитием ПО;
• развитие гибких и мобильных технологий обработки информации привело к тому, что практически исчезает грань между обрабатываемыми данными и исполняемыми программами за счет появления и широкого распространения виртуальных машин и интерпретаторов;
• несоответствие бурного развития средств обработки информации и медленной проработки теории информационной безопасности привело к появлению существенного разрыва между теоретическими моделями безопасности, оперирующими абстрактными понятиями типа «объект», «субъект» и реальными категориями современных ИТ;
• необходимость создания глобального информационного пространства и обеспечение безопасности протекающих в нем процессов потребовали разработки международных стандартов, следование которым может обеспечить необходимый уровень гарантии обеспечения защиты.

Вследствие совокупного действия всех перечисленных факторов перед разработчиками современных ИС, предназначенных для обработки конфиденциальной информации, стоят следующие задачи, требующие немедленного и эффективного решения:

• обеспечение безопасности новых типов информационных ресурсов;
• организация доверенного взаимодействия сторон (взаимной идентификации/аутентификации) в информационном пространстве;
• защита от автоматических средств нападения;
• интеграция в качестве обязательного элемента защиты информации в процессе автоматизации ее обработки.

В настоящее время с ростом объемов обработки информации в компьютерных сетях, расширением круга ее потребителей, распространением многопрограммных режимов работы ЭВМ, внедрением перспективных ИТ данная проблема приобрела новый аспект в связи с возрастанием роли программно-технического посредника между человеком-пользователем и информационными объектами, что, в свою очередь, вызвало создание дополнительных способов закрытия информации. Понятно, что проблема защиты информации приобретает особое значение в экономической области, характеризующейся повышенными требованиями одновременно к скрытности и оперативности обработки информации. Учитывая наибольшую сложность обеспечения защиты информации, обрабатываемой и передаваемой в компьютерных сетях различных типов, в дальнейшем рассматривается прежде всего эта часть общей проблемы (если иное не будет оговорено специально). Анализ уязвимости машинной информации позволяет выделить две группы возможных причин ее искажения или уничтожения:

• непреднамеренные действия (сбои технических средств, ошибки обслуживающего персонала и пользователей, аварии и т.п.);
• несанкционированные действия, к которым относятся: НСД и ознакомление субъектов с информацией; прямое хищение информации в электронном виде непосредственно на носителях или копирование информации на другие носители; запрещенная передача информации в линии связи или на терминалы; перехват электромагнитных излучений и информации по различным каналам связи и т. п.

Понятно, что такое большое число причин искажения (уничтожения) информации определяет необходимость использования и значительного числа способов и средств ее защиты, причем эти способы и средства только тогда эффективны, когда они применяются комплексно. Названные обстоятельства обусловливают содержание понятия «защита электронной информации». Под защитой информации в компьютерных системах принято понимать создание и поддержание организованной совокупности средств, способов, методов и мероприятий, предназначенных для предупреждения искажения, уничтожения и несанкционированного использования информации, хранимой и обрабатываемой в электронном виде. Наряду с определением понятия «защита информации» важным вопросом является классификация имеющихся способов и средств защиты, которые позволяют воспрепятствовать запрещенному (незаконному) ее использованию. На рис. 3.1 приведены наиболее часто используемые способы защиты информации в компьютерных сетях и средства, которыми они могут быть реализованы (на рисунке эти возможности изображены стрелками от способа к средствам).

Рис. 3.1. Способы и средства защиты информации

Рассмотрим каждый из способов. Препятствия предусматривают создание преград, физически не допускающих к информации. Управление доступом — способ защиты информации за счет регулирования использования всех ресурсов системы (технических, программных, временных и др.). Маскировка информации, как правило, осуществляется путем ее криптографического закрытия. Регламентация заключается в реализации системы организационных мероприятий, определяющих все стороны обработки информации. Принуждение заставляет соблюдать определенные правила работы с информацией под угрозой материальной, административной или уголовной ответственности. Наконец, побуждение основано на использовании действенности морально-этических категорий (например, авторитета или коллективной ответственности). Средства защиты информации, хранимой и обрабатываемой в электронном виде, разделяют на три самостоятельные группы: технические, программные и социально-правовые. В свою очередь, среди технических средств защиты выделяют физические и аппаратные. К физическим средствам защиты относятся:

• механические преграды, турникеты (заграждения); специальное остекление;
• сейфы, шкафы;
• механические и электромеханические замки, в том числе с дистанционным управлением;
• замки с кодовым набором;
• датчики различного типа;
• теле- и фотосистемы наблюдения и регистрации;
• СВЧ, ультразвуковые, радиолокационные, лазерные, акустические системы и др.;
• устройства маркировки;
• устройства с идентификационными картами;
• устройства идентификации по физическим признакам;
• устройства пространственного заземления;
• системы физического контроля доступа;
• системы охранного телевидения и охранной сигнализации;
• системы пожаротушения и оповещения о пожаре и др.

Под аппаратными средствами защиты понимают технические устройства, встраиваемые непосредственно в системы (аппаратуру) обработки информации. Наиболее часто используют:

• регистры хранения реквизитов защиты (паролей, грифов секретности и т.п.);
• устройства для измерения индивидуальных характеристик человека (например, цвета и строения радужной оболочки глаз, овала лица и т.д.);
• схемы контроля границ адреса имен для определения законности обращения к соответствующим полям (областям) памяти и отдельным программам;
• схемы прерывания передачи информации в линии связи с целью периодического контроля адресов выдачи данных;
• экранирование ЭВМ;
• установка генераторов помех и др.

Программные средства защиты данных в настоящее время получили значительное развитие. По целевому назначению их можно разделить на несколько больших классов (групп):

• программы идентификации пользователей;
• программы определения прав (полномочий) пользователей (технических устройств);
• программы регистрации работы технических средств и пользователей (ведение так называемого системного журнала);
• программы уничтожения (затирания) информации после решения соответствующих задач или при нарушении пользователем определенных правил обработки информации;
• криптографические программы (программы шифрования данных).

Программные средства защиты информации часто делят на средства, реализуемые в стандартных ОС (универсальные), и средства защиты в специализированных ИС (специализированные). К первым следует отнести:

• динамическое распределение ресурсов и запрещение задачам пользователей работать с «чужими» ресурсами;
• разграничение доступа пользователей к ресурсам по паролям;
• разграничение доступа к информации по ключам защиты;
• защита таблицы паролей с помощью главного пароля и др.

Средства защиты в экономических ИС, в том числе банковских системах, позволяют реализовать следующие функции защиты данных:

• опознавание по идентифицирующей информации пользователей и элементов ИС, разрешение на этой основе работы с информацией на определенном уровне;
• ведение многоразмерных таблиц профилей доступа пользователей к данным;
• управление доступом по профилям полномочий;
• уничтожение временно фиксируемых областей информации при завершении ее обработки;
• формирование протоколов обращений к защищаемым данным с идентификацией данных о пользователе и временных характеристик;
• программная поддержка работы терминала лица, отвечающего за безопасность информации;
• подача сигналов при нарушении правил работы с системой или правил обработки информации;
• физическая или программная блокировка возможности работы пользователя при нарушении им определенной последовательности правил или совершении определенных действий;
• подготовка отчетов о работе с различными данными — ведение подробных протоколов работы и др.

Криптографические программы основаны на использовании методов шифрования (кодирования) информации. Данные методы остаются достаточно надежными средствами ее защиты и более подробно будут рассмотрены ниже. В перспективе можно ожидать развития программных средств защиты по двум основным направлениям:

• создание централизованного ядра безопасности, управляющего всеми средствами защиты информации в ЭВМ (на первом этапе — в составе ОС, затем — вне ее);
• децентрализация защиты информации вплоть до создания отдельных средств, управляемых непосредственно только пользователем. В рамках этого направления находят широкое применение методы «эстафетной палочки» и «паспорта», основанные на предварительном расчете специальных контрольных кодов (по участкам контролируемых программ) и их сравнении с кодами, получаемыми в ходе решения задачи.

Организационные и законодательные средства защиты информации предусматривают создание системы нормативно-правовых документов, регламентирующих порядок разработки, внедрения и эксплуатации информации, а также ответственность должностных и юридических лиц за нарушение установленных правил, законов, приказов, стандартов и т.п. Морально-этические средства защиты информации основаны на использовании моральных и этических норм, господствующих в обществе, и требуют от руководителей всех рангов особой заботы о создании в коллективах здоровой нравственной атмосферы.

Формальные модели безопасности

Наибольшее развитие получили два подхода, каждый из которых основан на своем видении проблемы безопасности и нацелен на решение определенных задач, — это формальное моделирование политики безопасности и криптография. Причем эти различные по происхождению и решаемым задачам подходы дополняют друг друга: криптография может предложить конкретные методы защиты информации в виде алгоритмов идентификации, аутентификации, шифрования и контроля целостности, а формальные модели безопасности предоставляют разработчикам основополагающие принципы, лежащие в основе архитектуры защищенной системы и определяющие концепцию ее построения. Модель политики безопасности — формальное выражение политики безопасности. Формальные модели используются достаточно широко, потому что только с их помощью можно доказать безопасность системы, опираясь при этом на объективные и неопровержимые постулаты математической теории. Основная цель создания политики безопасности ИС и описания ее в виде формальной модели — это определение условий, которым должно подчиняться поведение системы, выработка критерия безопасности и проведение формального доказательства соответствия системы этому критерию при соблюдении установленных правил и ограничений. На практике это означает, что только соответствующим образом уполномоченные пользователя получат доступ к информации и смогут осуществлять с ней только санкционированные действия. < Среди моделей политик безопасности можно выделить два основных класса: дискреционные (произвольные) и мандатные (нормативные). В данном подразделе в качестве примера изложены основные положения наиболее распространенных политик безопасности, основанных на контроле доступа субъектов к объектам.

Дискреционная модель Харрисона—Руззо — Ульмана. Модель безопасности Харрисона—Руззо—Ульмана, являющаяся классической дискреционной моделью, реализует произвольное управление доступом субъектов к объектам и контроль за распространением прав доступа. В рамках этой модели система обработки информации представляется в виде совокупности активных сущностей — субъектов (множество $S$), которые осуществляют доступ к информации, пассивных сущностей — объектов (множество $О$), содержащих защищаемую информацию, и конечного множества прав доступа $R = {r_1, ..., r_n}$, означающих полномочия на выполнение соответствующих действий (например, чтение, запись, выполнение). Причем для того чтобы включить в область действия модели и отношения между субъектами, принято считать, что все субъекты одновременно являются и объектами. Поведение системы моделируется с помощью понятия «состояние». Пространство состояний системы образуется декартовым произведением множеств составляющих ее объектов, субъектов и прав — $OSR$. Текущее состояние системы $Q$ в этом пространстве определяется тройкой, состоящей из множества субъектов, множества объектов и матрицы прав доступа $M$, описывающей текущие права доступа субъектов к объектам, — $Q = (S, О, M)$. Строки матрицы соответствуют субъектам, а столбцы — объектам, поскольку множество объектов включает в себя множество субъектов, матрица имеет вид прямоугольника. Любая ячейка матрицы $M[s, о]$содержит набор прав субъекта $s$ к объекту $o$, принадлежащих множеству прав доступа $R$. Поведение системы во времени моделируется переходами между различными состояниями. Переход осуществляется путем внесения изменений в матрицу $M$ с помощью команд следующего вида:

Здесь

• $a$ — имя команды;
• $x_i$ — параметры команды, являющиеся идентификаторами субъектов и объектов;
• $s_i$ и $o_i$ — индексы субъектов и объектов в диапазоне от $1$ до $k$;
• $op_i$ — элементарные операции.

Элементарные операции, составляющие команду, выполняются только в том случае, если все условия, означающие присутствие указанных прав доступа в ячейках матрицы $M$, являются истинными. В классической модели допустимы только следующие элементарные операции:

• enter $r$ into $M[s, о]$ (добавление субъекту $s$ права $r$ для объекта $o$)
• delete $r$ from $M[s, о]$ (удаление у субъекта $s$ права $r$ для объекта $o$)
• create subject $s$ (создание нового субъекта $s$)
• create object $o$ (создание нового объекта $o$)
• destroy subject $s$ (удаление существующего субъекта $s$)
• destroy object $o$ (удаление существующего объекта $o$)

Критерий безопасности модели Харрисона — Руззо — Ульмана формулируется следующим образом. Для заданной системы начальное состояние $Q_0= (S_0, O_0, М_0)$ является безопасным относительно права $r$, если не существует применимой к $Q_0$ последовательности команд, в результате которой право $r$ будет занесено в ячейку матрицы $M$, в которой оно отсутствовало в состоянии $Q_0$. Нужно отметить, что все дискреционные модели уязвимы по отношению к атаке с помощью «троянского коня», поскольку в них контролируются только операции доступа субъектов к объектам, а не потоки информации между ними. Поэтому, когда «троянская» программа, которую нарушитель подсунул некоторому пользователю, переносит информацию из доступного этому объекта в объект, доступный нарушителю, то формально никакое правило дискреционной политики безопасности не нарушается, но утечка информации происходит. Таким образом, дискреционная модель Харрисона—Руззо — Ульмана в своей общей постановке не дает гарантий безопасности системы, однако именно она послужила основой для целого класса моделей политик безопасности, которые используются для управления доступом и контроля за распределением прав во всех современных системах. Типизованная матрица доступа. Другая дискреционная модель, получившая название «Типизованная матрица доступа» (TypeAccessMatrix— далее ТАМ), представляет собой развитие модели Харрисона—Руззо—Ульмана, дополненной концепцией типов, что позволяет несколько смягчить те условия, для которых возможно доказательство безопасности системы. Состояние системы описывается четверкой $Q= (S, О, t, M)$, где $S, О и M$ обозначают соответственно множество субъектов, объектов и матрицу доступа, at: $O → Т$ — функция, ставящая в соответствие каждому объекту некоторый тип. Состояние системы изменяется с помощью команд из множества $C$. Команды ТАМ имеют тот же формат, что и в модели Харрисона—Руззо—Ульмана, но всем параметрам приписывается определенный тип:

Перед выполнением команды происходит проверка типов фактических параметров, и, если они не совпадают с указанными в определении, команда не выполняется. Фактически введение контроля типов для параметров команд приводит к неявному введению дополнительных условий, так как команды могут быть выполнены только при совпадении типов параметров. В модели используются следующие шесть элементарных операций, отличающихся от аналогичных операций модели Харрисона—Руззо—Ульмана только использованием типизованных параметров:

Смысл элементарных операций совпадает со смыслом аналогичных операций их классической модели Харрисона — Руззо — Ульмана с точностью до использования типов. Таким образом, ТАМ является обобщением модели Харрисона—Руззо—Ульмана, которую можно рассматривать как частный случай ТАМ с одним единственным типом, к которому относятся все объекты и субъекты. Появление в каждой команде дополнительных неявных условий, ограничивающих область применения команды только сущностями соответствующих типов, позволяет несколько смягчить жесткие условия классической модели, при которых критерий безопасности является разрешимым. Несмотря на различающиеся подходы, суть всех моделей безопасности одинакова, поскольку они предназначены для решения одних и тех же задач. Целью построения модели является получение формального доказательства безопасности системы, а также определения достаточного критерия безопасности. Безопасность системы определяется в равной степени тремя факторами: свойствами самой модели, ее адекватностью угрозам, воздействующим на систему, и тем, насколько корректно она реализована. Поскольку при существующем разнообразии теоретических наработок в области теории информационной безопасности выбор модели, адекватной заданным угрозам, не является проблемой, последнее, решающее слово остается за ее реализацией в защищенной системе.

Шифрование — специфический способ защиты информации

Шифрование информации, хранимой и обрабатываемой в электронном виде, — это нестандартная кодировка данных, исключающая или серьезно затрудняющая возможность их прочтения (получения в открытом виде) без соответствующего программного или аппаратного обеспечения и, как правило, требующая для открытия данных предъявления строго определенного ключа (пароля, карты, отпечатка и т.д.). Шифрование условно объединяет четыре аспекта защиты информации: управление доступом, регистрацию и учет, криптографическую защиту, обеспечение целостности информации. Оно включает в себя непосредственное шифрование информации, электронную подпись и контроль доступа к информации. Шифрование направлено на достижение четырех основных целей.

1. Статическая защита информации, хранящейся на жестком диске компьютера или дискетах (шифрование файлов, фрагментов файлов или всего дискового пространства), исключает или серьезно затрудняет доступ к информации лицам, не владеющим паролем (ключом), т. е. защищает данные от постороннего доступа в отсутствие владельца информации. Статическое шифрование применяется в целях информационной безопасности на случай похищения файлов, дискет или компьютеров целиком (жестких дисков компьютеров) и исключения возможности прочтения данных любыми посторонними (не владеющими паролем) лицами. Наиболее продвинутой формой статической защиты информации является прозрачное шифрование (рис. 3.2), при котором данные, попадающие на защищенный диск, автоматически шифруются (кодируются) вне зависимости от природы операции записи, а при считывании с диска в оперативную память автоматически дешифрируются, так что пользователь вообще не ощущает, что находится под неусыпной защитой невидимого стража информации.

Рис. 3.2. Общая схема прозрачной дисковой защиты.
2. Разделение прав и контроль доступа к данным. Пользователь может владеть своими личными данными (разными компьютерами, физическими или логическими дисками одного компьютера, просто разными директориями и файлами), не доступными другим пользователям.
3. Защита отправляемых (передаваемых) данных через третьи лица, в том числе по электронной почте или в рамках локальной сети.
4. Идентификация подлинности (аутентификация) и контроль целостности переданных через третьи лица документов.

Шифровальные методы подразделяются на два принципиальных направления:

• симметричные классические методы с секретным ключом, в которых для зашифровки и дешифрации требуется предъявление одного и того же ключа (пароля);
• асимметричные методы с открытым ключом, в которых для зашифровки и дешифрации требуется предъявление двух различных ключей, один из которых объявляется секретным (приватным), а второй — открытым (публичным), причем пара ключей всегда такова, что по публичному невозможно восстановить приватный, и ни один из них не подходит для решения обратной задачи.

Как правило, шифрование производится путем выполнения некоторой математической (или логической) операции (серии операций) над каждым блоком битов исходных данных (так называемая криптографическая обработка). Применяются также методы рассеивания информации, например обыкновенное разделение данных на нетривиально собираемые части, или стеганография, при которой исходные открытые данные размещаются определенным алгоритмом в массиве случайных данных, как бы растворяясь в нем. От произвольной трансформации данных шифрование отличается тем, что выполняемое им преобразование всегда обратимо при наличии симметричного или асимметричного ключа дешифрации. Идентификация подлинности и контроль целостности основываются на том, что дешифрация данных с определенным ключом возможна только в случае, если они были зашифрованы с соответствующим (тем же или парным) ключом и не подверглись изменению в зашифрованном виде. Таким образом, если в случае симметричного метода обеспечена секретность (уникальность) двух копий одного ключа, а в случае асимметричного метода — секретность (уникальность) одного из пары ключей, успех операции дешифрации данных гарантирует их подлинность и целостность (разумеется, при условии надежности используемого метода и чистоты его программной или аппаратной реализации). Шифрование — наиболее общий и надежный при достаточном качестве программной или аппаратной системы способ защиты информации, обеспечивающий практически все его аспекты, включая разграничение прав доступа и идентификацию подлинности (электронную подпись). Однако существует два обстоятельства, которые необходимо учитывать при использовании программных средств, реализующих данное направление. Во-первых, любое зашифрованное сообщение в принципе всегда может быть расшифровано (хотя время, затрачиваемое на это, подчас делает результат расшифровки практически бесполезным). Во-вторых, перед непосредственной обработкой информации и выдачей ее пользователю производится расшифровка — при этом информация становится открытой для перехвата. С точки зрения качества защиты информации шифрование можно условно разделить на «сильное», или «абсолютное», практически не вскрываемое без знания пароля, и «слабое», затрудняющее доступ к данным, но практически (при использовании современных ЭВМ) вскрываемое тем или иным способом за реальное время без знания исходного пароля. Способы вскрытия информации в современных компьютерных сетях включают:

• подбор пароля или рабочего ключа шифрования перебором (brute-forceattack);
• угадывание пароля(key-guessing attack);
• подбор или угадывание пароля при известной части пароля;
• взлом собственно алгоритма шифрования.

Вне зависимости от метода шифрования любой шифр является слабым (т. е. вскрываемым за реальное время), если длина пароля недостаточно велика. Приводимые в табл. 3.1 данные показывают время, требуемое на подбор пароля на ЭВМ класса Pentium/200 МГц в зависимости от длины пароля и допустимых при его формировании знаков при вскрытии информации.

Таблица 3.1 Время на подбор пароля на ЭВМ Pentium/200 МГц

В зависимости от сложности применяемого алгоритма указанные времена могут быть увеличены в фиксированное число раз (в среднем в 10—1000). Микропроцессор PentiumII/450 МГц или даже PentiumIII превосходят Pentium/200 МГц по производительности не более чем в 10 раз, использование супер ЭВМ (например, «Эльбрус») позволяет сократить время перебора не более чем в 10000 раз, что, учитывая порядок приведенных в таблице чисел, абсолютно непринципиально. Таким образом, если пароль включает только латинские буквы без различения регистра, то любой шифр является слабым при длине пароля менее 10 знаков (очень слабым при длине пароля менее 8 знаков); если пароль включает только латинские буквы с различением регистра и цифры, то шифр является слабым при длине пароля менее 8 знаков (очень слабым при длине пароля менее 6 знаков); если же допускается использование всех возможных 256 знаков, то шифр является слабым при длине пароля менее 6 знаков. Однако длинный пароль сам по себе еще не означает высокой степени защиты, поскольку защищает данные от взлома подбором пароля, но не угадыванием. Угадывание пароля основано на специально разработанных таблицах ассоциации, построенных на статистических и лингво-психологических свойствах словообразования, словосочетаний и буквосочетаний того или иного языка, и способно на порядки сократить пространство полного перебора. Так, если для подбора пароля «Мама мыла раму» полным перебором требуются миллиарды лет на сверхмощных ЭВМ, то угадывание этого же пароля по таблицам ассоциации займет считанные дни или даже часы. Подбор или угадывание пароля при известной части пароля также существенно упрощает взлом. Например, зная особенности работы человека за компьютером или видя (или даже слыша) издали, как он набирает пароль, можно установить точное число знаков пароля и приблизительные зоны клавиатуры, в которых нажимаются клавиши. Такие наблюдения также могут сократить время подбора с миллиардов лет до нескольких часов. Даже если примененный пароль и рабочий ключ достаточно сложны, возможность взлома алгоритма шифрования поистине не знает границ. Из наиболее известных подходов можно выделить:

• математическое обращение применяемого метода;
• взлом шифра по известным парам открытых и соответствующих закрытых данных (метод plaintextattack);
• поиск особых точек метода (метод singularityattack) — дублирующих ключей (различных ключей, порождающих одинаковые вспомогательные информационные массивы при шифровании различных исходных данных), вырожденных ключей (порождающих тривиальные или периодические фрагменты вспомогательных информационных массивов при шифровании различных исходных данных), а также вырожденных исходных данных;
• статистический, в частности дифференциальный, анализ — изучение закономерностей зашифрованных текстов и пар открытых/зашифрованных текстов.

Наиболее привычным и доступным каждому пользователю средством шифрования информации, хранимой и обрабатываемой в электронном виде, являются программы-архиваторы, как правило содержащие встроенные средства шифрования. Согласно проведенным исследованиям, максимальный рейтинг по степени сжатия и скорости имеет архиватор RAR, незначительно отстает от него архиватор PKZ1P (несколько худшая компрессия при выдающейся скорости). Защита данных с помощью электронной подписи. Электронная подпись — вставка в данные (добавление) фрагмента инородной зашифрованной информации. Применяется для идентификации подлинности переданных через третьи лица документов и произвольных данных. Сама передаваемая информация при этом никак не защищается, т.е. остается открытой и доступной для ознакомления тем лицам, через которых она передается (например, администраторам сети и инспекторам почтовых узлов электронной связи). Как правило, электронная подпись включает в себя специальным образом вычисляемую контрольную сумму от данных, с которыми она соотносится, за счет чего обеспечивается контроль целостности данных. В электронных подписях может использоваться симметричное шифрование, однако по сложившейся традиции почти все системы электронной подписи базируются на шифровании с открытым ключом. В этом случае для зашифрования контрольной суммы от данных применяется секретный ключ пользователя, публичный ключ дешифрации может быть добавлен непосредственно к подписи, так что вся информация, необходимая для аутентификации и контроля целостности данных, может находиться в одном (передаваемом) «конверте».

Достоверность собственно электронной подписи целиком и полностью определяется качеством шифрующей системы. Однако на самом деле с электронной подписью все не так просто, и число уязвимых точек электронной подписи, базирующейся на шифровании с открытым ключом, также велико. С точки зрения решения задачи идентификации подлинности и контроля целостности полностью зашифрованный файл и открытый файл с добавочной зашифрованной информацией, включающей контрольную сумму данных («электронной подписью»), абсолютно эквивалентны. Шифрование для обеспечения контроля прав доступа. Контроль права доступа — простейшее средство защиты данных и ограничения (разграничения) использования компьютерных ресурсов, предназначенное для ограждения паролем определенной информации и системных ресурсов ЭВМ от лиц, не имеющих к ним отношения и не имеющих специального умысла получить к ним доступ или не обладающих достаточной для этого квалификацией. Сами данные хранятся на дисках в открытом (незащищенном) виде и всегда могут быть востребованы (похищены) в обход системы контроля, сколь бы изощренной она ни была. Примерами систем, осуществляющих парольный контроль доступа, являются системы Norton'spartitionsecuritysystem, Stacker, Fastback, Quicken, MicrosoftMoney, системы парольного контроля доступа при загрузке BIOS и т.д. Слабые шифры, реализуемые в известных программах Norton'sDiskreet, PKZIP, Unixcrypt, NovellNetware, MSExcel, MSWord и другие, для которых известны эффективные способы взлома, также можно отнести к системам контроля доступа. Несмотря на богатый научный потенциал России в области криптографии и особенно бурное ее развитие в начале 90-х гг. прошлого века, на настоящий момент единственным лицензированным Федеральным агентством правительственной связи и информации (ФАПСИ) шифром является шифр по ГОСТ 28147 — 89, самому же ФАПСИ и принадлежащий. Все остальные системы шифрования, предлагаемые зарубежными и отечественными фирмами (системы Symantec, RSADataSecurity, AT&T, PGP, ЛАН Крипто, Аладдин, Novex, Элиас, Анкад и многие другие) в виде законченных продуктов или библиотек, начиная с устоявшихся зарубежных стандартов (алгоритмов шифрования DES, FEAL, IDEA) и кончая оригинальными новейшими разработками, являются в равной степени незаконными и подводят наиболее активных инициаторов их разработки и использования на грань уголовной ответственности. Право на хождение на территории России имеет только указанный ГОСТ, причем только в исполнении организации, обладающей сертификатом ФАПСИ.

Что же касается непосредственно надежности шифрования, то практически все используемые коммерческие и индивидуально разработанные алгоритмы шифрования являются слабыми. Кроме того, существуют коммерческие и некоммерческие версии дешифраторов для всех известных архиваторов (PKZIP, arj и др.). Зарубежные «стандарты» шифрования (с учетом многообразия предлагаемых модификаций), экспортируемые некоторыми технологически развитыми странами (в частности, США — алгоритм DES, Япония — алгоритм FEAL), на самом деле являются стандартами соответствующих разведслужб, предлагаемыми и внедряемыми на территориях дружеских государств. Исключения в списке заведомо ненадежных систем шифрования, потенциально доступных для пользователя, являются лишь некоторые — две или три — оригинальные российские разработки. Разделение систем шифрозащиты на сильные и слабые (как по длине используемого пароля, так и по надежности самой системы) имеет принципиальное значение, обусловливающее возможность реального применения как слабых, так и сильных шифров в условиях их юридического запрета. Дело в том, что если используется заведомо слабая шифрозащита (например, программа PKZIP с паролем), для которой существует эффективный взлом, то невозможно наверняка утверждать, что выбранное средство является криптосистемой. Скорее, речь идет о шифрообразном ограничении и контроле прав доступа. С другой стороны, любая программа шифрования может потенциально рассматриваться как слабый шифр, т.е. шифрообразный контроль доступа к данным. Наконец, каким бы шифром вы ни пользовались, применение коротких паролей, безусловно, переводит шифры в разряд слабых, не обеспечивающих должный уровень защиты информации.

Защита информации от компьютерных вирусов

Рассмотренные в предыдущих пунктах способы и средства защиты информации являются в значительной мере универсальными и могут быть использованы в компьютерных сетях с любой машинной базой и для любой операционной платформы. Вместе с тем существует необходимость разработки совершенно новых средств защиты информации, предназначенных для противодействия так называемым компьютерным вирусам, способным уничтожать или искажать информацию, обрабатываемую на персональных ЭВМ. Важность и значимость таких методов определяются несколькими основными факторами. Во-первых, персональные ЭВМ получили весьма широкое распространение во всех отраслях человеческой деятельности, в том числе в экономической, причем круг непосредственных пользователей машин постоянно расширяется и в скором времени охватит, очевидно, практически все трудоспособное население. Во-вторых, к настоящему времени разработаны разнообразные программные средства, существенно облегчающие использование новых информационных технологий, и расширилась область их сбыта и применения, что в ряде случаев способствует распространению «зараженных» программных продуктов. В-третьих, появилось значительное число программистов, способных самостоятельно создавать достаточно сложные версии компьютерных вирусов и по различным причинам делающих это (в качестве причин могут выступать и весьма необычные — от желания испытать свои силы, прославиться, сделать рекламу своей квалификации до сознательных попыток сорвать работу тех или иных ИС). Следует отметить, что проблема борьбы с компьютерными вирусами возникла тогда, когда программисты стали создавать и использовать свои программы в некоторой системной среде, т.е. стали в определенном смысле по отношению друг к другу обезличенными. Также необходимо иметь в виду, что разработка компьютерных вирусов (и соответственно способов и средств борьбы с ними) не является вопросом науки, а имеет чисто инженерный («программистский») уровень. История компьютерных вирусов ведет начало с 1984 г., когда Фред Коэн (США) написал программу, которая автоматически активизировалась и проводила деструктивные изменения информации при незаконном обращении к другим программам автора. После этого было создано большое количество программ, предназначенных для вызова тех или иных «вредных» действий, и постепенно сформировалось самостоятельное инженерное направление по борьбе с ними.

Компьютерные вирусы были и остаются одной из наиболее распространенных причин потери информации. Данное положение особенно важно для локальных и глобальных компьютерных сетей, объединяющих работу сотен и миллионов пользователей. Известны случаи, когда вирусы блокировали работу организаций и предприятий. Более того, несколько лет назад был зафиксирован случай, когда компьютерный вирус стал причиной гибели человека — в одном из госпиталей Нидерландов пациент получил летальную дозу морфия по той причине, что компьютер был заражен вирусом и выдавал неверную информацию. Несмотря на огромные усилия конкурирующих между собой антивирусных фирм, убытки, приносимые компьютерными вирусами, не падают и достигают астрономических величин, измеряемых сотнями миллионов долларов ежегодно. Особенно эти потери актуальны в больших компьютерных сетях. Так, например, в апреле 1999 г. только по причине деструктивного действия одного компьютерного вируса под названием Win95.CIH во Франции было поражено более 100 тыс. банковских компьютеров с общим ущербом более 300 млн долл. Надо полагать, что эти оценки явно занижены, поскольку в средства массовой информации попадает лишь часть сведений о подобных инцидентах. При этом следует иметь в виду, что используемые антивирусные программы и аппаратная часть не дают полной гарантии защиты от вирусов. Примерно так же плохо обстоят дела на другой стороне тандема «человек—компьютер». Как прикладные пользователи, так и профессионалы-программисты часто не имеют даже навыков «самообороны» от вирусов, а их представления о проблеме порой весьма и весьма поверхностны. Компьютерный вирус — это специально написанная, как правило, на языке программирования низкого уровня небольшая по размерам программа, которая может «приписывать» себя к другим программам и выполнять различные нежелательные для пользователя действия на компьютере. Жизненный цикл вируса включает четыре основных этапа:

• внедрение;
• инкубационный период (прежде всего для скрытия источника проникновения);
• «репродуцирование (саморазмножение);
• деструкция (искажение и/или уничтожение информации).

Заметим, что использование медицинской (вирусологической) терминологии связано с тем, что по характеру жизнедеятельности и проявлениям программы-вирусы сходны с биологическими вирусами. В этой связи естественным является применение той же терминологии и для способов и средств борьбы с компьютерными вирусами: «антивирус», «карантин», «вакцина», «фаг», о чем более подробно будет сказано далее. Для реализации каждого из этапов цикла жизни вируса в его структуру включают несколько взаимосвязанных элементов (частей):

• ответственная за внедрение и инкубационный период;
• осуществляющая его копирование и добавление к другим файлам (программам);
• часть, в которой реализуется проверка условия активизации его деятельности;
• содержащая алгоритм деструктивных действий;
• реализующая алгоритм саморазрушения.

Часто названные части вируса хранятся отдельно друг от друга, что затрудняет борьбу с ними. Объекты воздействия компьютерных вирусов можно условно разделить на две группы:

• с целью продления своего существования вирусы поражают другие программы, причем не все, а те, которые наиболее часто используются и/или имеют высокий приоритет в ВС (заметим, что сами программы, в которых находятся вирусы, с точки зрения реализуемых ими функций, как правило, не портятся);
• с деструктивными целями вирусы воздействуют чаще всего на данные, реже — на программы.

Назовем наиболее широко распространившиеся деструктивные функции вирусов:

• изменение данных в соответствующих файлах;
• изменение назначенного магнитного диска, когда запись информации осуществляется на неизвестный пользователю диск;
• уничтожение информации путем форматирования диска или отдельных треков (дорожек) на нем;
• уничтожение каталога файлов или отдельных файлов на диске;
• уничтожение (выключение) программ, постоянно находящихся в ОС;
• нарушение работоспособности ОС, что требует ее периодической перезагрузки;
• уничтожение специальных файлов ОС и др. Классифицировать компьютерные вирусы можно по различным признакам. Укажем четыре из них [53]:
• среда обитания;
• ОС;
• особенности алгоритма работы;
• деструктивные возможности.

По среде обитания вирусы можно разделить на файловые; загрузочные; макровирусы; сетевые. Файловые вирусы либо различными способами внедряются в выполняемые файлы (наиболее распространенный тип вирусов), либо создают файлы-двойники (компаньон-вирусы), либо используют особенности организации файловой системы (link-вирусы). Загрузочные вирусы записывают себя либо в загрузочный сектор диска (boot-сектор), либо в сектор, содержащий системный загрузчик винчестера (MasterBootRecord), либо меняют указатель на активный boot-сектор. Макровирусы заражают файлы-документы, электронные таблицы и презентации ряда популярных редакторов. Сетевые вирусы используют для своего распространения протоколы или команды компьютерных сетей и электронной почты. Существует большое количество сочетаний — например, файлово-загрузочные вирусы, заражающие как файлы, так и загрузочные сектора дисков. Такие вирусы, как правило, имеют довольно сложный алгоритм работы, часто применяют оригинальные методы проникновения в операционную систему, используют стелс- и полиморфик-технологии. Другой пример такого сочетания — сетевой макровирус, который не только заражает редактируемые документы, но и рассылает свои копии по электронной почте (например, «Iloveyou» или «Анна Курникова»). Заражаемая ОС (вернее, ОС, объекты которой подвержены заражению) является вторым уровнем деления вирусов на классы. Каждый файловый или сетевой вирус заражает файлы какой-либо одной или нескольких ОС — DOS, Win95/98/NT, OS/2 и т.д. Макровирусы заражают файлы программ Word, Excel, PowerPoint, Office. Загрузочные вирусы также ориентированы на конкретные форматы расположения системных данных в загрузочных секторах дисков. Среди особенностей алгоритма работы вирусов выделяются следующие:

• резидентность;
• использование стелс-алгоритмов;
• самошифрование и полиморфичностъ;
• использование нестандартных приемов.

Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращения ОС к объектам заражения и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения компьютера или перезагрузки ОС. Нерезидентные вирусы не заражают память компьютера и сохраняют активность ограниченное время. Некоторые вирусы оставляют в оперативной памяти небольшие резидентные программы или функции, которые не распространяют вирус. Такие вирусы считаются нерезидентными. Резидентными можно считать макровирусы, поскольку они постоянно присутствуют в памяти компьютера на все время работы зараженного редактора. При этом роль ОС берет на себя редактор, а понятие «перезагрузка операционной системы» трактуется как выход из редактора. В многозадачных ОС время «жизни» резидентного DOS-вируса также может быть ограничено моментом закрытия зараженного DOS-окна, а активность загрузочных вирусов в некоторых операционных системах ограничивается моментом инсталляции дисковых драйверов ОС. Использование стелс-алгоритмов позволяет вирусам полностью или частично скрыть себя в системе. Наиболее распространенным стелс-алгоритмом является перехват запросов ОС на чтение/запись зараженных объектов. Стелс-вирусы при этом либо временно лечат их, либо «подставляют» вместо себя незараженные участки информации. В случае макровирусов наиболее популярный способ — запрет вызовов меню просмотра макросов. Один из первых файловых стелс-вирусов — вирус Frodo, первый загрузочный стелс-вирус — Brain.

Самошифрование и полиморфичностъ используются практически всеми типами вирусов для того, чтобы максимально усложнить процедуру детектирования вируса. Полиморфик-вирусы — это достаточно трудно обнаружимые вирусы, не имеющие сигнатур, т.е. не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика. Различные нестандартные приемы часто используются в вирусах для того, чтобы как можно глубже спрятать себя в ядре ОС (как это делает вирус «ЗАРАЗА»), защитить от обнаружения свою резидентную копию (вирусы TPVO, Trout2), затруднить лечение от вируса (например, поместив свою копию в Flash-BIOS) и т.д. По деструктивным возможностям вирусы можно разделить:

• на безвредные, т. е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);
• неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и прочими подобными эффектами;
• опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;
• очень опасные, в алгоритм работы которых заведомо заложены процедуры, способные привести к потере программ, уничтожению данных, стиранию необходимой для работы компьютера информации, записанной в системных областях памяти, и даже, как гласит одна из непроверенных компьютерных легенд, на быстрый износ движущихся частей механизмов — вводить в резонанс и разрушать головки некоторых типов винчестеров.

На сегодняшний день сложились установившиеся названия для некоторых типов вирусов. Так, «ловушками» называют вирусы, использующие имеющиеся неточности в действующих программах или их несовершенство (например, изменяющие адрес входа из программы в подпрограммы и обратно). «Логические бомбы», или «бомбы замедленного действия», осуществляют длительную и разнообразную подготовку к проведению деструктивных действий и затем срабатывают при выполнении определенного комплекса условий (например, выполнении определенного этапа работ, наступлении заданного времени, обращении к программе определенного пользователя и т.п.). Эти вирусы особенно опасны в силу длительности периода времени, при котором они себя практически не обнаруживают, хотя уже ведут разрушительную работу. Факт проявления этих вирусов сопряжен с такой степенью порчи данных, что в установленной версии ОС оказываются неработоспособными практически все (или большинство) программы. Таким образом, машина становится полностью неработоспособной. Вирусы-«черви» вызывают неуправляемое функционирование, например, сетевых или периферийных устройств (бесконечный «прогон» бумаги в принтере, постоянную перезагрузку ОС и т. п.). «Троянскими конями» называют вирусы, распространяемые вместе с ПО специального назначения, причем для пользователя оказываются крайне неожиданными их деструктивные действия (например, таким вирусом могут быть заражены сами антивирусные программы). Внешне «троянцы» могут даже выполнять некие полезные функции (фиктивно оптимизировать распределение памяти на компьютере, проводить уплотнение информации на диске и т.д.), но на самом деле либо разрушают систему (например, форматируют ваш винчестер на низком уровне или операцией многократного и оперативного считывания-записи информации способствуют механическому выведению из строя дисковода вашего компьютера), либо отдают контроль в руки другого человека. Пород «троянцев» множество: некоторые из них вообще не выполняют полезных функций, а просто скрытно «живут» на диске ЭВМ и совершают различные деструктивные действия, а некоторые, наоборот, совершенно не скрываются от пользователя, при этом производя некоторые манипуляции, о которых никто не подозревает (или не должен подозревать). Пример вируса первого типа — известный вирус BackOrifice, дающий «врагу» почти полный контроль над вашим компьютером в компьютерной сети и для вас невидимый. Пример вируса второго типа — подделки под браузер MSInternetExplorer, который при соединении с сайтом фирмы Microsoftразвивает небывалую активность по пересылке данных с компьютера на сервер Microsoft, объем которых явно превосходит простой запрос загружаемого HTML документа (Web-страницы Интернета). Для того чтобы применить тот или иной способ борьбы с конкретным вирусом, нужно сначала осуществить его диагностику (хотя следует признать, что все современные методы диагностики вирусов являются несовершенными). Названной цели служат программы трех типов:

• для выявления наличия вируса;
• обнаружения и удаления вируса;
• защиты от вирусов (препятствующие проникновению новых вирусов).

Борьба с вирусами ведется путем применения программ-антивирусов. Антивирус — программа, осуществляющая обнаружение или обнаружение и удаление вируса. Самыми популярными и эффективными антивирусными программами являются антивирусные сканеры (другие названия: фаги, полифаги). Следом за ними по эффективности и популярности следуют CRC-сканеры (также ревизоры, checksumer, integritychecker). Часто оба приведенных метода объединяются в одну универсальную антивирусную программу, что значительно повышает ее мощность. Применяются также различного типа блокировщики и иммунизаторы. Проблема защиты от макровирусов. Поскольку проблема макровирусов в последнее время перекрывает все остальные проблемы, связанные с вирусами, на ней следует остановиться подробнее. Существует несколько приемов и специальных функций, встроенных в Word/Excel и другие программы функций, направленных на предотвращение запуска вируса. Наиболее действенной из них является защита от вирусов, встроенная в Word и Excel (начиная с версий 7.0). Эта защита при открытии файла, содержащего любой макрос, сообщает о его присутствии и предлагает запретить этот макрос. В результате макрос не только не выполняется, но и не виден средствами Word/Excel. Такая защита является достаточно надежной, однако абсолютно бесполезна, если пользователь работает с макросами (любыми): она не отличает «чистые» и зараженные макросы и выводит предупреждающее сообщение при открытии практически любого файла. По этой причине защита в большинстве случаев оказывается отключенной, что дает возможность вирусу проникнуть в систему. К тому же включение защиты от вирусов в уже зараженной системе не во всех случаях помогает — некоторые вирусы, однажды получив управление, при каждом запуске отключают защиту от вирусов и таким образом полностью блокируют ее. Существуют другие методы противодействия вирусам, например функция DisableAutoMacros, однако она не запрещает выполнение прочих макросов и блокирует только те вирусы, которые для своего распространения используют один из автомакросов.

Запуск редактора Word с опцией /М (или с нажатой клавишей Shift) не является локацией от всех бед, а только отключает один макрос AutoExec и, таким образом, также не может служить надежной защитой от вируса. Сетевые вирусы. Среди множества известных вирусов особое место занимают сетевые вирусы, как правило, они считаются и наиболее опасными. Возможность инфицирования компьютерными вирусами корпоративных компьютерных сетей становится все более серьезной проблемой. Опасность действия вирусов определяется возможностью частичной или полной потери ценной информации, а также потерей времени и средств, направленных на восстановление нормального функционирования ИС. Обычная корпоративная компьютерная сеть включает в себя сотни рабочих станций, десятки серверов и, как правило, имеет очень сложную структуру. Стоимость обслуживания такой сети растет вместе с ростом числа подключенных рабочих станций. При этом расходы на антивирусную защиту являются не последним пунктом в списке общих расходов. Основной возможностью их снижения является централизация управления работой антивирусной системы, установленной в корпоративной компьютерной сети. Администратор должен иметь возможность с одного рабочего места вести мониторинг всех точек проникновения вирусов и управлять всеми антивирусными продуктами, перекрывающими эти точки. Компьютерные вирусы проникают в сеть вместе с файлами. Основные пути, которыми файлы, зараженные вирусами, попадают в корпоративную сеть:

• копирование инфицированных файлов или при запуске программ и других файлов с переносимых источников (гибких дисков, оптических дисков, Zip, Jaz, Floptical и т.д.);
• программное обеспечение, полученное через Web или FTP и сохраненное на локальных рабочих станциях;
• файлы, получаемые удаленными пользователями, которые соединяются с корпоративной сетью по модему;
• файлы, получаемые при соединении удаленного сервера с сетью для обмена с файловым сервером, сервером приложений или сервером баз данных;
• электронная почта, содержащая приложенные зараженные файлы.

Глобальная компьютерная сеть Интернет на сегодняшний день также является основным источником вирусов. Наибольшее число заражений вирусом происходит при обмене письмами. Пользователь зараженного макровирусом редактора, сам того не подозревая, рассылает зараженные письма адресатам, которые, в свою очередь, отправляют новые зараженные письма и т.д. К сетевым относятся вирусы, которые для своего распространения активно используют протоколы и возможности локальных и глобальных сетей. Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервер или рабочую станцию. «Полноценные» сетевые вирусы при этом обладают еще и возможностью запустить на выполнение свой код на удаленном компьютере или, по крайней мере, «подтолкнуть» пользователя к запуску зараженного файла. Бытует ошибочное мнение, что сетевым является любой вирус, распространяющийся в компьютерной сети. Но в таком случае практически все вирусы были бы сетевыми, даже наиболее примитивные из них: ведь самый обычный нерезидентный вирус при заражении файлов не разбирается — сетевой (удаленный) это диск или локальный. В результате такой вирус способен заражать файлы в пределах сети, но отнести его к сетевым вирусам нельзя. Наибольшую известность приобрели сетевые вирусы конца 80-х гг. XX в., их также называют сетевыми червями (worms). К ним относятся вирус Морриса, вирусы CristmasTree и WankWorm&. Для своего распространения они использовали ошибки и недокументированные функции глобальных сетей того времени — вирусы передавали свои копии с сервера на сервер и запускали их на выполнение. В случае с вирусом Морриса эпидемия захватила даже несколько глобальных сетей в США. После некоторого затишья проблема сетевых вирусов вновь обострилась в начале 1997 г. с появлением вирусов Macro.Word. ShareFun и Win.Homer. Первый из них использует возможности электронной почты MicrosoftMail — он создает новое письмо, содержащее зараженный файл-документ (ShareFun является макровирусом), затем выбирает из списка адресов службы MSMail (из вашей компьютерной записной книги) три случайных адреса и рассылает по ним зараженное письмо. Поскольку многие пользователи устанавливают параметры MSMail таким образом, что при получении письма автоматически запускается MSWord, то вирус «автоматически» внедряется в компьютер адресата зараженного письма. Этот вирус иллюстрирует первый тип современного сетевого вируса, который объединяет возможности встроенного в Word/Excel языка Basic, протоколы и особенности электронной почты и функции автозапуска, необходимые для распространения вируса.

Второй вирус (Homer) использует для своего распространения протокол FTP (FileTransferProtocol) и передает свою копию на удаленный FTP-сервер в каталог Incoming. Поскольку сетевой протокол FTP исключает возможность запуска файла на удаленном сервере, этот вирус можно охарактеризовать как «полусетевой», однако это реальный пример возможностей вирусов по использованию современных сетевых протоколов и поражению глобальных сетей. Приведем некоторые правила защиты от компьютерных вирусов. Правило первое. Крайне осторожно относитесь к программам и документам, изготовленным с помощью пакета MicrosoftOffice (с помощью приложений Word/Excel/PowerPoint/Access), которые вы получаете из глобальных сетей. Перед тем как запустить файл на выполнение или открыть документ/таблицу/презентацию/ базу данных, обязательно проверьте их на наличие вирусов. Используйте специализированные антивирусы для проверки всех файлов, приходящих по электронной почте (из локальных и глобальных сетей в целом). К сожалению, на сегодняшний день пока нельзя однозначно назвать хотя бы один антивирус, который достаточно надежно ловил бы вирусы в приходящих из Интернета файлах, но не исключено, что такие антивирусы появятся в ближайшем будущем. Правило второе. Касается защиты локальных сетей. Для уменьшения риска заразить файл на сервере администраторам сетей следует активно использовать стандартные возможности защиты сети: ограничение прав пользователей; установку атрибутов «только на чтение» или даже «только на запуск» для всех выполняемых файлов (к сожалению, это не всегда оказывается возможным); скрытие (закрытие) важных разделов диска и директорий и т.д. Используйте специализированные антивирусы, проверяющие все файлы, к которым идет обращение. Если это по какой-либо причине невозможно, регулярно проверяйте сервер обычными антивирусными программами. Значительно уменьшается риск заражения компьютерной сети при использовании бездисковых рабочих станций. Желательно также перед тем как запустить новое ПО, проверить его на тестовом компьютере, не подключенном к общей сети. Правило третье. Лучше приобретать дистрибутивные копии ПОу официальных продавцов, чем бесплатно или почти бесплатно копировать их из других источников или покупать нелицензионные «пиратские» копии. При этом значительно снижается вероятность заражения.

Как следствие из этого правила вытекает необходимость хранения дистрибутивных копий ПО (в том числе копий ОС), причем копии желательно хранить на защищенных от записи дискетах (дисках). Пользуйтесь только хорошо зарекомендовавшими себя источниками программ и прочих файлов, хотя это не всегда спасает (например, на сервере Microsoftдовольно долгое время находился документ, зараженный макровирусом Wazzu). По-видимому, единственными надежными с точки зрения защиты от вирусов являются BBS/ftp/WWW антивирусных фирм-разработчиков. Правило четвертое. Старайтесь не запускать непроверенные файлы, в том числе полученные из компьютерной сети. Желательно использовать только программы, полученные из надежных источников. Перед запуском новых программ обязательно проверьте их одним или несколькими антивирусами. Если даже ни один антивирус не среагировал на файл, который был снят с BBS или электронной конференции, не торопитесь его запускать. Подождите неделю, если этот файл вдруг окажется заражен новым неизвестным вирусом, то, скорее всего, кто-либо потерпит неудобства раньше вас и своевременно сообщит об этом. Желательно также, чтобы при работе с новым ПО в памяти резидентно находился какой-либо антивирусный монитор. Если запускаемая программа заражена вирусом, то такой монитор поможет обнаружить вирус и остановить его распространение. Все рекомендации приводят к необходимости ограничения круга лиц, допущенных к работе на конкретном компьютере. Как правило, наиболее часто подвержены заражению «многопользовательские» персональные компьютеры. Правило пятое. Пользуйтесь утилитами проверки целостности информации. Такие утилиты сохраняют в специальных БД информацию о системных областях дисков (или целиком системные области) и информацию о файлах (контрольные суммы, размеры, атрибуты, даты последней модификации файлов и т.д.). Периодически сравнивайте информацию, хранящуюся в подобной БД, с реальным содержимым винчестера, так как практически любое несоответствие может служить сигналом о появлении вируса или «троянской» программы.

Правило шестое. Периодически сохраняйте на внешнем носителе файлы, с которыми ведется работа. Такие резервные копии носят название backup-копий. Затраты на копирование файлов, содержащих исходные тексты программ, БД, документацию, значительно меньше затрат на восстановление этих файлов при проявлении вирусом агрессивных свойств или при сбое компьютера. При наличии стримера или какого-либо другого внешнего носителя большого объема имеет смысл делать backup-копии всего содержимого винчестера. Но поскольку времени на создание подобной копии требуется значительно больше, чем на сохранение только рабочих файлов, такие копии делаются гораздо реже. В качестве вывода отметим, что проблему защиты от вирусов целесообразно рассматривать в общем контексте проблемы защиты информации от несанкционированного доступа. Основной принцип, который должен быть положен в основу разработки технологии защиты от вирусов, состоит в создании многоуровневой распределенной системы защиты, включающей регламентацию доступа к ЭВМ, проводимых операций на ЭВМ, применение специальных программных и аппаратных средств и т.п. В заключение подчеркнем три важнейших обстоятельства: во-первых, защита информации от несанкционированных действий эффективна только тогда, когда комплексно (системно) применяются все известные способы и средства; во-вторых, защита должна осуществляться непрерывно; и в-третьих, на защиту информации не нужно жалеть затрат денежных, материальных, временных и других ресурсов, ибо они многократно окупятся сохранением целостности информации.