Лекция на тему "ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ"

ЗАЩИТА  ПЕРСОНАЛЬНЫХ ДАННЫХ Множество   Федеральных   законов   раскрывают   понятие   персональных данных.   Правоотношения   в   сфере персональных   данных регулируются федеральным законодательством РФ (Федеральный Закон от 27.07.2006 г. № 152­ФЗ «О персональных данных»), Трудовым кодексом РФ (глава 14), а так же Гражданским кодексом РФ. В настоящем ФЗ используются следующие основные понятия:     Персональные   данные  ­   любая   информация,   относящаяся   к определенному   физическому   лицу   (субъекту   персональных   данных),   в   том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес,       семейное,   социальное,   имущественное   положение,   образование,   профессия, доходы, другая информация; Защита   персональных   данных –  это   комплекс   мероприятий, позволяющий   выполнить   требования   законодательства   РФ,   касающиеся обработки, хранению и передачи персональных данных граждан.   Обработка   персональных   данных  ­   действия   (операции)   с   персональными   данными,   включая   сбор,   систематизацию,   накопление,   использование, хранение,   изменение),   уточнение (обновление,         распространение   (в   том   числе   передачу),   обезличивание,   блокирование, уничтожение персональных данных; Обработка персональных данных может осуществляться оператором с   В   целях   информационного согласия   субъектов   персональных   данных.   обеспечения   могут   создаваться   общедоступные   источники   персональных данных (в том числе справочники, адресные книги).     Сведения о субъекте персональных   данных   могут   быть   в   любое   время   исключены   из общедоступных   источников   персональных   данных   по   требованию   субъекта 3 персональных   данных   либо   по   решению   суда   или   иных   уполномоченных государственных органов.      Субъект персональных данных вправе требовать от оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные   данные   являются   неполными,  устаревшими,  недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки,   а   также   принимать   предусмотренные   законом   меры   по   защите своих прав. Ограничение   доступа   к   информации   устанавливается   федеральными законами   в   целях   защиты   основ   конституционного   строя,   нравственности, здоровья,   прав   и   законных   интересов   других   лиц,   обеспечения   обороны страны и безопасности государства. Обязательным   является   соблюдение   конфиденциальности   информации, доступ к которой ограничен федеральными законами. Работа с документами, содержащими конфиденциальную информацию, требует особой ответственности. Существует специальный порядок ведения учёта,   напечатания,   размножения,   хранения,   оформления,   проверки   и распределения документов с грифом "Коммерческая тайна", их уничтожения в присутствии должностного лица. Но  также существует  отдельный  тип  рода  деятельности  называемый хакером       (англ.cracker   –   взломщик).   Некоторые   работают     группами, некоторые     отдельно.     Их   методы   различны,   но   основной     постоянный рабочий   инструмент   –   программа­взломщик, делящаяся на два основных компонента:     программа     для     доступа     к   удаленным   компьютерам   по телефонным     сетям     и     словарь     вероятных     кодов     и   паролей.   Задача   компьютеру   с программы­взломщика   получить   доступ   к   удаленному   помощью подбора кодов и паролей до  тех  пор,  пока  комбинация  не  будет найдена; это обеспечит доступ к системе. 4 Выбор системы защиты Любая   компьютерная   система   не   является   идеальной,   то   есть полностью не может обеспечить безопасность данных на вашем ПК.   Чтобы на  100%  защитить   данные от попадания в чужие руки  надо  их  уничтожить. А   чтобы   сохранить содержимое       компьютера   в   целости   надо   найти   между   важностью   защищаемых   данных   и   неудобствами компромисс     связанными   с     использованием   мер   защиты.   Рассмотрим   методы   защиты данных, а также  то, как уменьшить связанные с защитой данных неудобства. Дело в том, что   каждый раз, когда повышается уровень защиты требуется более   изощренный   способ   ее обхода.   Выбор   средства     защиты должен основываться   на   обеспечении достаточной защищенности и в то же время не     доставлять     неудобств.     Каждый   пользователь   должен   произвести собственный анализ риска и решить какие  меры защиты наиболее подходят в данном   случае.   Анализ   риска   для     персональных   компьютеров   можно разделить   на   три     класса:     анализ     автономных     систем,     то   есть   одного компьютера, анализ локальных систем и анализ  систем  удаленного доступа имеющих связь с глобальной сетью (напр. Internet). Использование паролей Идея  использования  паролей  заключается   в  следующем: если   кто­ либо  попробует обратиться к  вашим  данным  или  аппаратным  средствам, то   пароли   должны создать собой массу неудобств. Чем   сложнее   будет угадать     или     «взломать»   используемый   вами   пароль,   тем   в     большей безопасности  будут  ваши  данные. Длина   пароля   существенно   влияет   на   уровень   защиты.   Личные номера   на сегодняшний  день являются одним   из   наименее    безопасных паролей   широкого использования. При «лобовом» нападении проверяются все   возможные     комбинации     паролей   до   тех   пор   пока   одна   из     них     не сработает.  При   увеличении   длины   пароля сложность лобового нападения возрастает   так   как   это   займет     больше     времени.   Конечно,   многие   банки 5 используют не только четырехразрядный код (PIN), но  и другие методы для повышения     безопасности,     например,     видеокамеры     и     АТМ,   которые блокируют карточки. При этом   меры   защиты   в   каждом   банке   сильно отличаются. Большинство банков также оказывают следующую услугу:   вы можете позвонить в банк, набрать номер карточки и личный номер и  узнать состояние текущего счета. Этот сценарий делает   уязвимым   ваш   личный номер  (PIN)  – некто может засесть за телефон и пробовать разные варианты. Простые меры защиты      Есть кое,  какие  несложные  приемы  для  защиты  ценной  информации, которые используются уже много лет. Проблема в том, что все эти схемы легко  обойдет хорошо осведомленный пользователь.                    Также можно надежно шифровать отдельные файлы и сообщения электронной почты   используя   правительственный   стандарт   шифрования DES.   DES   расшифровывается   как   Data   Encryption   Standart   (стандарт шифрования   данных). DES был разработан IBM по заказу FBI и CIA как программное  обеспечение  для шифрования. Защита электронной почты            Подавляющее большинство   электронной   почты   посылается   через Internet   или другие глобальные сети в   виде   простого   текста,   который можно  прочесть. Закон  о  конфиденциальности  электронных  коммуникаций приравнивает электронную почту к обычному телефонному звонку.             Хакеры   и   любопытные   отличаются   тем,   что   владеют     различными способами получения доступа к чужой почте, но обе эти категории не могут читать  эту почту,  если  она  зашифрована. Резервное копирование          Использование  антивирусных  и  антишпионских  программ   является обязательным   для   защиты   важных   данных,   однако   не   все   и   не   всегда понимают,   насколько   это   важно.   Прежде   чем   думать   о   предотвращении 6 проникновения вредоносных объектов на компьютер, следует задуматься о вопросе сохранения ценной информации.          Реальность   угроз   показывает   необходимость   резервного   копирования важной   информации   через   определенные   промежутки   времени. Для   компаний,   обладающих   ценной   информацией,   необходимость   ее резервного копирования изначально понятна и не нуждается в пояснениях, тогда   как   обычным   домашним   пользователям   это   становится   ясно,   как правило, уже после утраты либо повреждения конфиденциальных данных.          С целью сохранить важную информацию, нужно производить резервное копирование данных как минимум раз в месяц. Эта простая операция может действительно спасти нужные нам данные от нежелательной утраты либо от причинения им ущерба. Защита компьютера и защита информации Защита   компьютера   от   попадания   на   него   нежелательных   программ обязывает  учесть несколько элементов  защиты, часть из которых является активными, а часть пассивными. Установка антивируса и антишпиона необходима для базовой защиты компьютера,   помимо   этого   должен   быть   на   компьютере  брандмауэр  (в дальнейшем "файервол"). В современных операционных системах, начиная с Windows XP и выше, файервол   встроен   по   умолчанию,   как   и   программа   детектирования распространенных шпионских программ. Остается   лишь   установить   антивирус   (AVG  является   бесплатной   и рекомендуемой антивирусной программой). Действия   по   установке   антивируса   и  файервола   представляют   собой пассивные элементы защиты, так как после их установки нам практически не требуется выполнять никаких особых операций: эти программы обновляются и сканируют компьютер автоматически. 7 Исключением   являются   программы­антишпионы,   потому   что производить   сканирование   компьютера   нужно   вручную,   поэтому   данные программы относятся к активным элементам защиты. Дополняет   активную   защиту   компьютера   наше   поведение   при использовании компьютера.  Своевременное   и   правильное   применение   этих   элементов   может обеспечить нам безопасность и целостность данных на компьютере. В нашей стране с начала 90­х годов начала строиться совершенно новая финансово­кредитная   система,   произошло   становление   новых   форм собственности, в том числе и интеллектуальной собственности. Еще не так давно   вся   собственность   нашей   страны   (тогда   еще   СССР)   была государственной. Промышленность страны была в той или иной степени на "военных   рельсах",   поэтому   промышленные   секреты   были   военными   и охранялись нашей мощной системой спецслужб.  Сейчас ситуация кардинально изменилась. Отдельные частные компании ведут   свои   научные   разработки,   в   каждой   организации   автоматизирована система   бухгалтерского   учета  ­  все   это  и  многое  другое   разрабатывается, обрабатывается и хранится при помощи компьютеров. А для передачи данных используются компьютерные сети. Само собой разумеется, такая информация может быть интересна для конкурирующих организаций, а значит, появляется проблема ее защиты.  Но   под   "защитой   информации"   следует   понимать   не   только   спектр   но   и технических   мероприятий   ­   программных   и   аппаратных, законодательных.   Казалось   бы,   такая   мелочь,   но   это   важно   с   двух   точек зрения.   Во­первых,   защита   законом   прав,   свобод   и   собственности   ­ необходимые условия построения правового государства. И, во­вторых, при поимке "компьютерных злоумышленников" появляется дилемма: что с ними делать, ведь предать их правосудию невозможно, т.к. все, что не запрещено законом, ­ разрешено.  8 На   сегодняшний   день,   юридически   сформулированы   три   принципа информационной безопасности, которая должна обеспечивать: ­ целостность данных; ­ конфиденциальность информации; ­ доступность информации для всех зарегистрированных пользователей. Поясним   содержание   первого   пункта.   Здесь   подразумевается   защита данных   от   умышленного   (вирусы)   или   неумышленного   повреждения, уничтожения, доступа к ней посторонних. Создание, использование и распространение вредоносных программ для ЭВМ Рассмотрим   программы,   которые   срабатывают   при   определенных условиях   и   полностью   или   частично   парализуют   работу   компьютерной системы.   Всем   известен   греческий   миф   о   Троянской   войне.   Крупные греческие   силы   осаждали   город   Троя.   Жители   города   оборонялись   всеми силами,   и   греки   никак   не   могли   взять   непокорный   город.   Тогда   Одиссей разработал хитроумный план. Жители Трои утром увидели за стенами города вместо греческого военного лагеря огромного деревянного коня ­ как подарок храбрым   защитникам   города   от   отступивших   греков.   Когда   же   троянцы пронесли   за   стены   этот   щедрый   подарок,   оказалось,   что   внутри   коня спрятались лучшие греческие воины.  Так греки взяли Трою. Подобным способом работают программы типа "троянский   конь".   Этот   способ   состоит   во   внесении   в   чужую   программу специальных функций, не нарушающих работу программы.  Обнаружить  "коня",  безусловно,   возможно.  Однако   это   очень   кропотливая работа. Из сотен и тысяч команд необходимо обнаружить те, которые внесены извне.   Однако   существуют   и   такие   "Трояны",   которые   составлены   по следующему   принципу.   В   программу   вставляются   не   сами   команды, формирующие преступную операцию, а программный код, после выполнения 9 которого формируются те самые команды, выполняющие "грязную работу", после выполнения которой они самоуничтожаются. Разработка и распространение компьютерных вирусов Статья 273 УК РФ говорит нам об ответственности  за разработку и распространение   компьютерных   вирусов.   Опасность   вирусов   не   следует преуменьшать. Вирус может оказаться причиной выхода из строя банковской системы,   системы   жизнеобеспечения   в   лечебных   учреждениях,   систем навигации   самолетов,   кораблей   и   т.п.   Уголовный   кодекс   предусматривает наказание за внесение вируса на компьютерные системы, даже если вирус не сработал   или   не   успел   сработать.   Наказание   существует   за   любой   вид умышленного   распространения   вируса,   будь   то   продажа   программы   с вирусом, дарение, обмен или тайное внесение в систему. Естественно,   что   против   вирусов   приняты   чрезвычайные   меры, приведшие к созданию защитных программ. Антивирусные программы можно разделить   на   три   вида:  фильтрующие,   препятствующие   проникновению вируса   на   компьютер;  противоинфекционные,   контролирующие   работу приложений в системе;  противовирусные, осуществляющие поиск вирусов среди файлов компьютера и осуществляющие "лечение файлов". Однако   заметим,   что   вирусы   сначала   появляются,   а   уж   потом специальные   антивирусные   лаборатории   ищут   "вакцину"   против   данного конкретного   вируса.  Так   что,  используя   последнюю   версию   антивирусного пакета, вы можете быть защищены только от тех видов вирусов, которые были известны создателям пакета на момент выхода.  Подделка компьютерной информации Сущность   данного   вида   компьютерной   преступности   состоит   в следующем.   Разработчик   программного   продукта   вместо,   например, построения   математической   модели   объекта,   с   целью   получения   каких­то выходных   параметров,   просто   имитирует   получение   этих   параметров.   Это 10 может   быть   в   случае,   когда   объект   не   соответствует   налагаемым   на   него требованиям, а запуск производства этого объекта очень важен для третьего лица.   Ну   и   к   тому   же,   разработать   математическую   модель   сложнее,   чем просто сымитировать выходные данные. Хищение компьютерной информации Не секрет, что в нашей стране подавляющее большинство продаваемого обеспечения   является   не   совсем   лицензионным.   Однако   компьютерные программы, как и, например, книги, защищены законами об авторском праве. Но не только авторские права на программу являются предметом хищения информации.  Защита данных в компьютерных сетях Прежде всего, классифицируем возможные нарушения, которые могут вызвать   потери   или   изменение   пересылаемой   информации.   Среди потенциальных проблем выделим следующие: 1. Сбои в работе оборудования: ­ сбои кабельной системы; ­ поломки дисковых накопителей; 2. Потери информации из­за ошибок в работе программного обеспечения: ­ потери данных при заражении компьютера вирусами. В зависимости от видов возможных правонарушений, многочисленные виды защиты информации подразделяют на три основных вида: ­   Программные   средства   защиты,  например,   антивирусные   пакеты, системы многопользовательского доступа и т.п. ­   Средства   физической   защиты,  включая   защиту   кабельных   систем, использование   всевозможных   источников   бесперебойного   питания,   защиту помещений от постороннего доступа, резервное копирование информации. 11 ­   Административные   средства   защиты,  можно   сказать,   объединяют первые   два   пункта,   формируя   политику   информационной   безопасности компании. Безусловно, четких границ между этими видами защиты информации не существует.   Наиболее   часто   применяются   комплексные   методы   борьбы, можно назвать их программно­аппаратными.  Защита данных в системах сотовой связи Огромные   объемы   информации   передаются   по   радиоканалам. Например, в сетях сотовой связи.  Рассмотрим принципы защиты информации, применяемые в самом распространенном стандарте сотовой связи ­ GSM. 1.   Аутентификация   (подлинность,   достоверность).   Эта   процедура применяется при подключении абонента к системе. Формируется отклик на входящий   сигнал   RAND   ­   последовательность   Res.   На   базовой   станции проходит   такая   же   операция,   с   использованием   ключа   Ki,   хранящегося   в регистре   данных   оператора   мобильной   связи.  Формируется   отклик  ­ xRes. Затем сравниваются отклики Res и xRes, и если они совпадают, то процедура аутентификации   пройдена.   Именно   поэтому   необходимо   защитить   и   базу данных с индивидуальными ключами абонентов. 2. Шифрование передаваемой информации. В стандарте GSM использована система простейшего шифрования. Информация передается в цифровом виде, и   происходит   сложение   по   модулю   два   (mod2)   информационной последовательности   и   шифровой.   Дешифрация   возможна   при   наличии шифровой последовательности и осуществляется все тем же сложением по модулю   два  (mod2)   зашифрованной   последовательности   и   дешифровочной, которая полностью совпадает с исходной шифровой.  12 Физические методы защиты данных В   настоящее   время   наилучшим   образом   проявили   себя структурированные   кабельные   системы,   использующие   одинаковые   кабели для   передачи   данных   в   локальной   вычислительной   сети,  телефонной   сети, сетей пожарной и охранной сигнализации, сетей передачи  данных системы видеонаблюдения. Название "структурированность" означает, что кабельную систему здания можно разделить на несколько уровней:  ­ аппаратные  ­ внешнюю подсистему ­ административные подсистемы. Аппаратные   служат   для   размещения   коммуникационной   аппаратуры, обеспечивающей работу административной подсистемы. Внешняя   подсистема   состоит   из   кабельной   системы   (медной   или оптоволоконной), устройств защиты от высоковольтных скачков напряжения, надежной   системы   заземления   и   связывает   коммуникационную   и обрабатывающую аппаратуру в здании. Административная подсистема предназначена для управления работой всей   кабельной   системой.   Ну   и,   наконец,   оборудование   рабочих   мест представляет собой сетевые адаптеры, всевозможные соединительные шнуры. Программные методы защиты данных Наиболее  распространенными  методами  защиты  от  вирусов  остаются всевозможные антивирусные программы. Однако все чаще и чаще защита с помощью антивирусных программ становится   недостаточно   эффективной.   В   связи   с   этим,   распространение получают программно­аппаратные методы защиты. На сегодняшний день уже существует   достаточное   количество   устройств,   "умеющих"   защищаться   от вирусов. Уже в 1994 году корпорация Intel разработала оригинальное решение для защиты от вирусов в компьютерных сетях. Сетевые адаптеры Ethernet в 13 Flash­памяти   содержат   антивирусную   программу.   И   вся   информация сканируется на наличие вирусов. В   этой   связи,   видится   возможность   такой   перспективы:   через определенное   количество   лет   каждый   персональный   компьютер   станет доступным лишь через сложную систему идентификации.   Во­первых,   не   стоит   доверять   спаму.   Spam   (спам)   –   это бесплатная рассылка на электронный почтовый ящик пользователя всяческих посланий   и приглашений.   Большинство   вредоносных   программ,   как   черви, которые легко внедряются в операционную систему компьютера пользователя и   открывают доступ   к   его   ресурсам   и   данным,   распространяются   через такую корреспонденцию. Следовательно, рекомендовано не только не вникать в смысл   спамерских   посланий,   а   просто   удалять   все   непонятные письма, которые   пришли   на   ваш   адрес,   даже   не   открывая   их.  Естественно загружать, прикрепленные  спамерами, файлы категорически запрещено, так как возникает большая вероятность взлома защиты ваших данных!  Во­вторых,   рекомендуется   пользоваться исключительно       проверенными сайтами и блогами.   В­третьих,   очень   важно   своевременно   ради   безопасности, обновлять   программное       обеспечение.     Пользователям     рекомендуется тщательно следить за выходом обновлений и свежего софта, при первой же возможности устанавливать их на свой компьютер. Биометрическая защита информации В   настоящее   время   часто   используются   биометрические   системы идентификации.   Используемые   в   этих   системах   характеристики   являются неотъемлемыми   качествами   личности   человека   и   поэтому   не   могут   быть утерянными и подделанными. 14 Увеличившийся   в   последнее   время   интерес   к   данной   теме   принято связывать   с   угрозами   активизировавшегося   международного   терроризма. Многие государства ввели   в   обращение паспорта   с   биометрическими данными. Данный вид защиты на сегодня самая распространенная биометрическая технология.   По   данным   International   Biometric   Group,   доля   систем распознавания по отпечаткам пальцев составляет 52% от всех используемых в мире   биометрических   систем   .   Отпечаток,   полученный   с   помощью специального сканера, датчика или сенсора, преобразуется в цифровой код и сравнивается   с   ранее   введенным   эталоном.   Надёжность   данного   способа идентификации   личности   состоит   в   невозможности   создания   идентичного отпечатка. Идентификация по отпечаткам пальцев. Отпечатки   всех   пальцев   каждого   человека   уникальны   по рисунку папиллярных   линий и   различаются   даже   у   близнецов.   Отпечатки пальцев не меняются в течение всей жизни взрослого человека, они легко и просто предъявляются при идентификации. Если один из пальцев поврежден, 15 для   идентификации   можно   воспользоваться   «резервным»   отпечатком (отпечатками),   сведения   о   которых,   как   правило,   также   вносятся   в биометрическую систему при регистрации пользователя. В   настоящее   время   начинается   выдача   новых   загранпаспортов,   в микросхеме   которых   хранится   цифровая   фотография   владельца. Идентификация   по   изображению   лица   Для   идентификации   личности   часто используются   технологии   распознавания   по   лицу.   Распознавание   человека происходит на расстоянии. Идентификационные признаки учитывают форму лица, его цвет, а также цвет волос. К важным признакам можно отнести также координаты точек лица в местах, соответствующих смене контраста (брови, глаза, нос, уши, рот и овал). Идентификация по ладони руки В биометрике в целях идентификации используется простая геометрия руки — размеры и форма, а также некоторые информационные знаки на тыльной стороне руки (образы на сгибах между фалангами пальцев, узоры Голосовая биометрия, позволяющая измерять голос каждого человека, незаменима при удаленном обслуживании клиентов, когда основным   средством   взаимодействия   является   голос,   в   первую   очередь,   в автоматических   голосовых   меню   и   контакт­центрах.   Идентификация   по характеристикам речи расположения кровеносных сосудов)..  Радужная   оболочка   глаза   является   уникальной   биометрической характеристикой   для   каждого   человека   .   Идентификация   по   радужной оболочке глаза Радужная оболочка глаза человека не меняется в течение всей его жизни с самого рождения.  Для   получения   индивидуальной   записи   о   радужной   оболочке   глаза черно­белая камера делает 30 записей в секунду. Голосовая биометрия, позволяющая измерять голос каждого человека, незаменима   при   удаленном   обслуживании   клиентов,   когда   основным средством   взаимодействия   является   голос,   в   первую   очередь,   в 16 автоматических   голосовых   меню   и   контакт­центрах.   Идентификация   по характеристикам речи. Преимущества голосовой биометрии: Не требует специальных сканеров: достаточно обычного микрофона в диктофоне или телефоне; не предъявляет специальных   требований   к   устройствам:   может   быть   использован   любой диктофон (аналоговый или цифровой), мобильный или стационарный телефон. 17