Коммерческая тайна. ст. 139 ГК РФ

⇐ ПредыдущаяСтр 4 из 11Следующая ⇒

Коммерческая тайна. К ней относятся научно-техническая, технологическая, производственная, финансово-экономическая и иная деловая информация, в том числе информация о секретах производства – ноу-хау. По определению, коммерция – это деятельность, направленная на извлечение прибыли. Защита коммерческой тайны обусловливается механизмом конкурентных отношений.

«Информация является собственностью, когда она имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам», – эта изящная формулировка приведена в ст. 139 ГК РФ. Если информация известна многим, она перестает быть собственностью и обладать ком. Ценностью.

Режим охраны коммерческой тайны определяется ее собственником. Для установления режима охраны коммерческой информации ее собственник должен:

1─ документально оформить конкретный и исчерпывающий перечень сведений, составляющих для его фирмы коммерческую тайну (этот перечень обязательно утверждается либо руководителем фирмы, либо собранием акционеров и доводится

под роспись до сотрудников фирмы, работающих с коммерческой тайной);

2─ принять конкретные меры по защите принадлежащей ему информации (качество защиты должно соответствовать ценности защищаемой информации);

3─ обеспечить изоляцию конфиденциальных документов в процессе документооборота от остальных документов;

4─ нанести на вещественные носители, содержащие коммерческие сведения, гриф «Коммерческая тайна» с указанием собственника этой информации;

5─ вести учет лиц, которым конфиденциальные сведения были доступны или предоставлены для ознакомления;

6─ заключать трудовые договоры с работниками с учетом требований по сохранности коммерческой тайны.

К коммерческой информации не могут относиться сведения, ограничение в доступе к которым может нанести вред правам других лиц. Так, не могут быть отнесены к коммерческой тайне сведения о платежеспособности частного предпринимателя или

фирмы, о численности работников, условиях их труда и заработной плате, документы об уплате налогов и др.

Ролевая политика безопасности. Определение. Примеры (Win, UNIX). Достоинства и недостатки Ролевой политика безопасности.

Ролевая (матричной) модель (КДБР ), характеризуется как компромиссная между дискреционной и мандатной моделью. Неформально в основу данной модели положено, что собственником всех данных является некоторая организация, а не пользователь, как в случае дискреционной и мандатной модели. Модель ориентирована на упрощение и обеспечение формальной ясности и технологии обеспечения безопасности ВС.

Управление правами доступа осуществляется как на основе матрицы доступа, так и на основе правил, регламентирующих поведение (роли) пользователя и их активацию во время сеансов. В системах КДБР пользователи не могут передавать права на доступ к информации другим пользователям, что является фундаментальным отличием КДБР от дискреционного доступа

Ролевая модель определяет особый тип политики, основанный на компромиссе между гибкостью управления доступом, характерной для дискреционных моделей, и жесткостью правил, характерных для мандатного доступа.В ролевой модели классическое понятие субъекта разделяется на две части 6 пользователь и роль.

Пользователь – это человек, работающий с системой и выполняющий определенные обязанности.

Роль- это активно действующая в системе абстракная сущность, с которой связан ряд ограничений, логически связанный набор привилегий, необходимых для осуществления определенной деятельности. Самым распространенным примером является рол администратора, который обладает специальными полномочиями и может использоваться несколькими пользователями.

КДБР принимает решение о доступе на основе информации о функции, которую пользователь выполняет внутри данной организации, — роли этого пользователя. Например, в госпитале роли могут быть следующими: доктор, хирург, медсестра, фармацевт и т. д. При этом фармацевт (пользователь, выполняющий роль фармацевта) может получать доступ к информации о количестве выданного лекарства, но тип лекарства назначается доктором.

Присвоение роли пользователю и распределение полномочий роли в КДБР зависит от политики безопасности, принятой в системе. Роль можно понимать как множество действий, которые пользователь или группа пользователей может исполнять в контексте вычислительной системы организации. Понятие роли включает описание обязанностей, ответственности и квалификации субъекта. Функции распределяются по ролям администратором системы. Доступ пользователя к роли также определяется администратором системы.

КДБР подразумевает непосредственное описание сущностей системы и правил контроля доступа в терминах, соответствующих представлению операций в вычислительной системе конкретной организации. Таким образом, КДБР оперирует с абстракциями более высокого уровня, чем дискреционный или мандатный контроль доступа. С одной стороны, это лишает его некоторой универсальности, присущей другим механизмам контроля доступа. С другой стороны, если КДБР для организации однажды реализован, то его корректировка путем добавления и удаления ролей становится несложным процессом.

Политики безопасности, основанные на КДБР, описываются в терминах пользователей, ролей, операций и защищаемых объектов. Для того чтобы применить некоторую операцию к защищаемому КДБР объекту, пользователь должен выполнять некоторую роль. До того, как пользователь может выполнять данную роль, он должен быть авторизован для данной роли системным администратором. КДБР наделяет администратора способностью устанавливать ограничения на авторизацию в роли, активацию роли, выполнение операций. Данные ограничения могут иметь различную форму.

Обычно КДБР реализуется на уровне приложений, а не на уровне операционной системы. Трудность поддержки на уровне операционной системы заключается в практической невозможности выявления достаточно общих базовых конструкций КДБР, независимых от области применения и легко реализуемых

Билет №6

Модель 3У. Угроза информации. Определение, 3 группы угроз.Примеры.

Лица, преднамеренно реализующие угрозы (ЗУ), являются злоумышленниками

Угроза информации – это совокупность условий и факторов, которые потенциально могут нанести вред (ущерб) собственнику, владельцу путем раскрытия, модификации или разрушения информации либо отказа в обслуживании. Есть и иное определение: информационные угрозы – это потенциально возможные опасные

действия, приводящие к ущербу. Потенциальные угрозы чрезвычайно разнообразны, поэтому трудно дать даже их общую классификацию.

Пространство угроз можно разделить на три большие группы. К первой группе относятся угрозы конфиденциальности. Угроза конфиденциальности реализуется, если защищаемая информация, обладающая действующей или потенциальной ценностью в силу ее неизвестности третьим лицам, становится достоянием этих лиц.

Например:

─ ознакомление с информацией – процесс ее восприятия в устной или письменной форме лицом, не имеющим на это права;

─ подслушивание – непосредственный (с помощью органов слуха) или

опосредованный (с помощью технических средств) прием вызываемых источником акустических колебаний;

─ разглашение – неправомерная передача сведений неопределенному кругу лиц, не являющихся собственниками;

─ хищение – противоправное и безвозмездное изъятие носителей информации из владения

Вторая группа угроз – это угрозы целостности. В отношении они выражаются в ее несанкционированном или непреднамеренном видоизменении. Впрочем, видоизменение – не совсем удачное слово, поскольку под ним можно понимать изменение формы, а не содержания информации. Под угрозами целостности информации следует иметь в виду именно угрозы изменения ее содержания

Правомерен вопрос: какое количество информации необходимо изменить, чтобы наступила угроза целостности?

Это, безусловно, зависит от вида информации. Если защищаемая информация представляет собой текст, запись голоса, музыкальное произведение, рисунок, то порча или искажение ее части могут не привести к потере качества. В то же время искажение хотя бы одной значащей цифры в числе даст неверную интерпретацию количества. Искажение хотя бы одного бита в машинной команде приведет к тому, что центральный процессор воспримет ее как иную команду, и это вызовет либо ошибку в вычислениях, либо сбой в работе.

В связи с вышеуказанным под нарушением целостности понимают любое искажение информации. Как уже отмечалось ранее, при считывании сектора данных с дискового носителя или приеме по каналу связи сетевого пакета допускается вероятность ошибки,

не превышающая 0, 00000001. Обеспечивается это с помощью уже упоминавшейся проверки избыточным циклическим кодом.

Нарушение целостности информации вредит двум ее прагматическим качествам – полноте и достоверности.

Третья группа угроз – это угрозы доступности. Выражаются они в том, что защищаемая информация оказывается заблокированной, т. е. в течение некоторого времени недоступной для ее соб-

Профессиональные тайны. Определение. Примеры

Профессиональные тайны (адвокатская, журналистская, врачебная, нотариальная тайны, тайна усыновления, страхования, связи, а также налоговая и банковская тайны в части персональной информации о клиентах).

Государственная служебная тайна – тайна, не связанная с персональными данными. Институт служебной тайны распространяется на систему органов государственной власти.

Статья 139 Гражданского кодекса РФ не делает различий между коммерческой и служебной тайнами. Но служебная тайна не должна быть объектом гражданского права и иметь коммерческую ценность. Она имеет такой же характер, что и государственная

тайна, и отличается от нее только величиной потенциального ущерба в случае ее несанкционированного распространения.

Процессуальная тайна. Это сведения, которые могут стать известными в ходе расследования преступлений и правонарушений, при проведении криминалистических

экспертиз, при заслушивании дел в суде.

3.MLS (мандатная) политика безопасности. Определение. Примеры ( Win, UNIX). Достоинтсва и недостатки MLS (мандатной)политики безопасности. +

Мандатная модель характерна для случая, когда есть один глобальный собстенник данных ( например государство). Поскольку государство, рассматриваемое с позиций системного анализа имеет сложную структуру, то применение дискреционного принципа теоретически возможно, но практически затруднительно из-за сложной структуры реальных государственных структур.

Основная идея мандатной модели – приписывания объектам и субъектам доступа меток. Если метки объекта и субъекта в каком-то смысле соответствуют, то субъект получат право на доступ /действия, иначе нет. Очевидно, что это является абстракций так называемых «грифов/допусков». Если у субъекта есть допуск, то у него есть права на работу с документом. Дополнительными ограничениями может служить список лиц, допущенных к некоторым документам.

Таким образом в общем случае необходимы привилегии 2-х видов:

· уровень допуска

· вхождение в список, утвержденный офицером безопасности

В реляционной модели в качестве структуры, обладающей меткой естественно выбрать кортеж (строка/запись таблицы БД).Местом хранения меток может быть выбран только кортеж с данными. При этом соответствующий атрибут и домен из которого принимают значения метки доступа, должен обладать некоторыми особенностями. В частности, должен быть решен вопрос о технологии его( атрибута) заполнения и изменения.

Вывод: преимущества мандатной модели –простота и понятность для пользователя. Основной недостаток – громоздкость и жесткость(негибкость) модели по сравнению с дискреционной моделью.

Билет 7

Потенциальные угрозы (синонимы - веер возможностей, дерево угроз). Примеры.

формационные угрозы – это потенциально возможные опасные действия, приводящие к ущербу. Потенциальные угрозы чрезвычайно разнообразны, поэтому трудно дать даже их общую классификацию.

Пространство угроз можно разделить на три большие группы.

К первой группе относятся угрозы конфиденциальности. Конфиденциальный – это доверительный, не подлежащий огласке. Угроза конфиденциальности реализуется, если защищаемая информация, обладающая действующей или потенциальной ценностью в силу ее неизвестности третьим лицам, становится достоянием этих лиц (одного или многих). В русском языке существует достаточно много глаголов, означающих действия, связанные с угрозами конфиденциальности. Например:

─ подслушивание – непосредственный (с помощью органов слуха) или опосредованный (с помощью технических средств) прием вызываемых источником акустических колебаний;

─ разглашение – неправомерная передача сведений неопределенному кругу лиц, не являющихся собственниками;

─ хищение – противоправное и безвозмездное изъятие носителей информации из владения собственника и обращение информации в пользу виновного или иных лиц (в формах мошенничества, кражи, грабежа, разбоя);

─ копирование информации – процесс повторного и устойчивого ее запечатления на машинном или ином носителе, переноса ее с одного носителя на другой без изменения содержания или смысла;

─ утеря (утрата) носителя информации – выход носителя (документа) из владения уполномоченного лица помимо его воли в результате нарушения установленных правил обращения с носителем;

─ утечка – процесс несанкционированного переноса информации от источника к злоумышленнику;

─ перехват – несанкционированный прием сигналов энергетической природы (электромагнитных и акустических), несущих защищаемую информацию;

─ визуальное или техническое наблюдение – непосредственное или опосредованное получение и анализ изображения нужного объекта (человека, предмета, документа, области пространства).

Вторая группа угроз – это угрозы целостности. В отношенииинформации они выражаются в ее несанкционированном или непреднамеренном видоизменении.

Под угрозами целостности информации следует иметь в виду именно угрозы изменения ее содержания.

Если защищаемая информация представляет собой текст, запись голоса, музыкальное произведение, рисунок, то порча или искажение ее части могут не привести к потере качества. В то же время искажение хотя бы одной значащей цифры в числе даст неверную интерпретацию количества. Искажение хотя бы одного бита в машинной команде приведет к тому, что центральный процессор воспримет ее как иную команду, и это вызовет либо ошибку в вычислениях, либо сбой в работе.

Нарушение целостности информации вредит двум ее прагматическим качествам – полноте и достоверности.

Третья группа угроз – это угрозы доступности. Выражаются они в том, что защищаемая информация оказывается заблокированной, т. е. в течение некоторого времени недоступной для ее собственника, владельца или пользователя. При этом информация сохраняется в неизменном виде и не становится достоянием третьих лиц.

Блокирование информации может произойти по какой-либо из перечисленных ниже причин:

─ поломки ключа или замка от сейфа, в котором хранятся носители конфиденциальной информации;

─ забывчивости пользователя, приводящей к утрате пароля для расшифровывания электронного документа;

─ повреждения служебной области данных на магнитном или оптическом диске либо неисправности устройства считывания/записи данных (если поврежден участок носителя, где была записана защищаемая информация, следует говорить об угрозах целостности).

Например, страшные по своим возможным последствиям переключения на посторонние задачи компьютерных систем, управляющих ядерной реакцией или движением транспорта, тоже являются примерами угроз доступности информации.

Вот как, например, выглядят информационные угрозы с точки зрения предприятий, предоставляющих услуги телефонной связи:

─ незаконное подключение к абонентским линиям связи с целью бесплатного пользования ими;

─ незаконное подслушивание (запись) телефонных переговоров;

─ распространение данных о служебных телефонах и их пользователях;

─ сверхнормативное использование ресурсов за обычную абонентскую плату;

─ использование незарегистрированных оконечных устройств;

─ повреждение линий связи с целью хищения цветных металлов;

─ вандализм (повреждение таксофонов и др.);

─ подделка телефонных карточек и жетонов.

Данным угрозам можно противопоставить:

─ физическую охрану АТС, линий связи, распределительных устройств, таксофонов;

─ законодательные санкции за повреждение линий связи, подслушивание, незаконное подключение к каналам;

─ обеспечение конфиденциальности переговоров и регистрационных данных;

─ бдительность пользователей.

Государственная служебная тайна. Определение. Примеры

Собственник информации – это субъект, в полном объеме реализующий полномочия владения, пользования, распоряжения.

Владелец информации обладает правами ее владения и использования.

Пользователь имеет право только пользоваться информацией с разрешения ее собственника или владельца.

ФЗ «О государственной тайне» относит к этому виду информации «защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности,

распространение которых может нанести ущерб безопасности Российской Федерации». Нормативно определен перечень сведений, относящихся к государственной тайне. Этот перечень раз в пять лет пересматривается Межведомственной комиссией по защите государственной тайны и утверждается Президентом России.

Распространенным грифом на вещественных носителях служебной информации является пометка «Для служебного пользования».

⇐ Предыдущая 1 2 345 6 7 8 9 10 Следующая ⇒