Файл: Объективность информации.pdf

1. Что такое информация?
Информация — это любые данные, сведения и сообщения, представляемые в любой форме.
2.
Свойства информации
Объективность информации. Информация в любом своём проявлении объективна, она отображает объективную действительность.
Достоверность информации. Информация достоверна, если она отражает истинное положение дел.
Полнота информации. Информацию можно назвать полной, если ее достаточно для понимания и принятия решений.
Точность информации определяется степенью ее близости к реальному состоянию объекта, процесса, явления и т. п.
Актуальность информации — важность для настоящего времени, злободневность, насущность.
Полезность (ценность) информации. Полезность может быть оценена применительно к нуждам конкретных ее потребителей и оценивается по тем задачам, которые можно решить с ее помощью.
3. Необходимость разработки модели образа безопасности информации
4. Угроза безопасности информации
Угрозы безопасности информации — это некая совокупность факторов и условий, которые создают опасность в отношении защищаемой информации.
Угрозы ИБ можно разделить на два типа: естественные и искусственные.
Естественные угрозы не зависят от человека, это природные явления
(ураганы, наводнения, пожары и т.д.)
Искусственные угрозы зависят непосредственно от человека и могут быть преднамеренными и непреднамеренными:
Непреднамеренные угрозы возникают из-за неосторожности, невнимательности и незнания. Примером таких угроз может быть установка программ, не входящих в число необходимых для работы и в дальнейшем нарушающих работу системы, что и приводит к потере информации.
Преднамеренные угрозы, в отличие от предыдущих, создаются специально. К ним можно отнести атаки злоумышленников как извне, так и изнутри компании. Результат реализации этого вида угроз — потери денежных средств и интеллектуальной собственности организации.
5. Чем угроза отличается от кибер-атаки?
Угроза – вероятность нарушения информационной безопасности
Кибер-атака – это факт нарушения информационной безопасности

6. Чем угроза отличается от кибер-угрозы?
Обычная угроза – это вероятность наступления нежелательных последствий
Кибер-угроза – это более точное определение
7. Чем кибер-безопасность отличается от информационной безопасности?
Кибербезопасность защищает киберпространство от угроз, а информационная безопасность – это защита общих данных от угроз.
Кибербезопасность направлена на защиту сетей, устройств и систем от кибер-атак. Она также направлена на защиту людей от кражи личных данных, мошенничества и других интернет-преступлений. Кибербезопасность связана с защитой частной жизни пользователей путем шифрования их коммуникаций и данных. Это означает, что кибербезопасность не защищает интеллектуальную собственность компаний и не обеспечивает конфиденциальность сотрудников.
Информационная безопасность направлена на защиту данных организации от несанкционированного доступа со стороны сотрудников или посторонних лиц. Она заботится о том, чтобы конфиденциальная информация хранилась надежно, не попадая в руки третьих лиц, которые могут использовать ее не по назначению или даже причинить вред ее владельцу. Информационную безопасность можно разделить на три категории: физическую (например, запирание документов), логическую (например, шифрование конфиденциальных данных) и административный контроль (например, периодическая смена паролей).
Нулевые вопросы:
8. Как правильно проводить аудит объекта автоматизации или информатизации?
Аудит объекта автоматизации или информатизации должен проводиться в соответствии с определенными шагами, чтобы обеспечить максимально полное и точное понимание ситуации. Ниже представлены основные этапы проведения аудита:
1.
Определение целей и задач аудита. Необходимо четко определить, что именно нужно проверить и какие результаты должны быть получены в итоге.
2.
Подготовка к аудиту. На этом этапе необходимо собрать всю необходимую информацию о проверяемом объекте, включая техническую документацию, данные о процессах, настройки систем и т.д.
3.
Проведение анализа. На этом этапе осуществляется проверка соответствия объекта автоматизации или информатизации установленным

стандартам, правилам и регламентам. Также проводится анализ эффективности системы и выявление возможных проблем.
4.
Оценка рисков. Необходимо определить риски, связанные с объектом автоматизации или информатизации, и оценить их влияние на деятельность организации.
5.
Представление результатов аудита. На этом этапе готовится отчет о результатах аудита, в котором содержатся рекомендации по устранению выявленных проблем и улучшению работы системы.
6.
Устранение выявленных проблем. После представления отчета необходимо приступить к исправлению выявленных проблем и внедрению рекомендаций.
Важно отметить, что проведение аудита объекта автоматизации или информатизации является ответственным и сложным процессом, требующим высокой квалификации специалистов. Поэтому, в большинстве случаев, проведение аудита лучше доверить профессиональным аудиторам или экспертам в данной области.
9. На какие вещи стоит обращать внимание, на какие не стоит обращать внимание, для безопасника?
1. Конфиденциальность. Специалист по информационной безопасности должен обеспечить защиту конфиденциальной информации, такой как персональные данные клиентов и коммерческая тайна.
2. Целостность
данных.
Необходимо обеспечить защиту от несанкционированных изменений, как внутренних, так и внешних.
3. Доступность данных. Важно обеспечить доступ к данным для уполномоченных лиц, но в то же время обеспечить защиту от несанкционированного доступа.
4. Управление рисками. Специалист по информационной безопасности должен проанализировать и оценить риски для систем и данных, а также разработать меры для их снижения.
5. Регуляторные
требования.
Специалист по информационной безопасности должен следить за регуляторными требованиями, чтобы удостовериться, что система соответствует стандартам и требованиям.

10. Виды нарушителей. Определить какой нарушитель является внешним и внутренним. Потенциал нарушителя.
Нарушитель информационной безопасности организации— это физическое лицо или логический объект, то есть в данном случае имеется в виду процесс в информационной системе, случайно или преднамеренно совершивший действие, следствием которого является нарушение информационной безопасности организации, то есть в самом общем виде нарушение целостности, конфиденциальности или доступности информации.
Внешние нарушители — это нарушители, которые находятся за пределами информационной системы, за пределами объекта информатизации и действуют оттуда, то есть в самом общем понимании не обладают правами на доступ к различным компонентам информационной или автоматизированной системы, то есть лица, у которых нет учетной записи в информационной системе, лица, которые не относятся к персоналу организации, клиенты той или иной организации, надзорные органы, просто прохожие за окном и за контролируемой зоной.
Внутренние нарушители — это нарушители, относящиеся к персоналу организации того или иного уровня.
Выделяются три уровня потенциала нарушителей:
1) Нарушители с базовым, или низким, потенциалом нападения – это нарушители, обладающие умеренной мотивацией, то есть стремлением достичь своей цели, финансированием и навыками.
(Это внешние субъекты, физические лица, то есть любые внешние
лица, которые не имеют доступа на территорию и никакими
специальными навыками и никакими специальными возможностями не
обладают)
2) Нарушители с базовым повышенным, или средним, потенциалом нападения – это нарушители, которые обладают двумя из трех этих параметров на высоком уровне — финансированием, мотивацией и навыками.
(Это террористические либо экстремистские группировки. Они
серьезно замотивированы и могут обладать достаточно серьезным
финансированием. Преступные группы, криминальные структуры
также, как правило, не имеют проблем с финансированием, а кроме
того, могут включать и достаточно серьезных специалистов.
Конкурирующие организации сходны с ними в этих двух параметрах,
кроме того, они могут обладать серьезной мотивацией)

3) Нарушители с высоким потенциалом нападения — это нарушители, которые имеют все эти три параметра на высоком уровне.
(Специальные службы иностранных государств)
11.
Как определяется актуальность и неактуальность угроз?
Есть формула по вычислению актуальности угроз, но можно зайти на сайт
ФСТЭК и посмотреть банк актуальных угроз (УБИ) https://bdu.fstec.ru/threat
Литература:
149-ФЗ «Об информации, информационных технологиях и о защите
информации» — главный закон об информации в России. Он определяет ключевые термины, например, говорит, что информация — это любые данные, сведения и сообщения, представляемые в любой форме. Также там описано, что такое сайт, электронное сообщение и поисковая система. Именно на этот закон и эти определения нужно ссылаться при составлении документов по информационной безопасности.
152-ФЗ «О персональных данных» — этот закон регулирует работу с персональными данными — личными данными конкретных людей. Его обязаны соблюдать те, кто собирает и хранит эти данные. Например, компании, которые ведут базу клиентов или сотрудников. Мы подробно рассматривали этот закон в отдельной статье «Как выполнить 152-ФЗ о защите персональных данных и что с вами будет, если его не соблюдать»
187-ФЗ «О безопасности критической информационной
инфраструктуры Российской Федерации» — этот закон касается компаний, которые работают в сферах, критически важных для жизни государства — таких, что сбой в их работе отразится на здоровье, безопасности и комфорте граждан России.
К таким сферам относится здравоохранение, наука, транспорт, связь, энергетика, банки, топливная промышленность, атомная энергетика, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность и химическая промышленность. Также сюда относят компании, которые обеспечивают работу предприятий из этих сфер, например, предоставляют оборудование в аренду или разрабатывают для них ПО.
Если на предприятии из этой сферы будет простой, это негативно отразится на жизни всего государства. Поэтому к IT-инфраструктуре и безопасности информационных систем на этих предприятиях предъявляют особые требования.