Файл: Виды и состав угроз информационной безопасности (Основные определения и критерии классификации угроз).pdf

ВВЕДЕНИЕ

Примечательная особенность нынешнего периода — переход от индустриального общества к информационному, в котором информация становится более важным ресурсом, чем материальные или энергетические ресурсы. Ресурсами, как известно, называют элементы экономического потенциала, которыми располагает общество и которые при необходимости могут быть использованы для достижения конкретных целей хозяйственной деятельности. Давно стали привычными и общеупотребительными такие категории, как материальные, финансовые, трудовые, природные ресурсы, которые вовлекаются в хозяйственный оборот, и их назначение понятно каждому. Но вот появилось понятие «информационные ресурсы», и хотя оно узаконено, но осознано пока еще недостаточно. В при водимой литературе так излагается это понятие: «Информационные ресурсы — отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах)». Информационные ресурсы являются собственностью, находятся в ведении соответствующих органов и организаций, подлежат учету и защите, так как информацию можно использовать не только для производства товаров и услуг, но и превратить ее в наличность, продав кому-нибудь, или, что еще хуже, уничтожить. Собственная информация для производителя представляет значительную ценность, так как нередко получение (создание) такой информации — весьма трудоемкий и дорогостоящий процесс. Очевидно, что ценность информации (реальная или потенциальная) определяется в первую очередь приносимыми доходами. Особое место отводится информационным ресурсам в условиях рыночной экономики. Важнейшим фактором рыночной экономики выступает конкуренция. Побеждает тот, кто лучше, качественнее, дешевле и оперативнее (время — деньги!) производит и продает. В сущности, это универсальное правило рынка. И в этих условиях основным выступает правило: кто владеет информацией, тот владеет миром. В конкурентной борьбе широко распространены разнообразные действия, направленные на получение (добывание, приобретение) конфиденциальной информации самыми различными способами, вплоть до прямого промышленного шпионажа с использованием современных технических средств разведки. Установлено, что 47% охраняемых сведений добывается с помощью технических средств промышленного шпионажа. В этих условиях защите информации от неправомерного овладения ею отводится весьма значительное место. При этом «целями защиты информации являются: предотвращение разглашения, утечки и несанкционированного доступа к охраняемым сведениям; предотвращение противоправных действий по уничтожению, модификации, искажению, копированию, блокированию информации; предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы; обеспечение правового режима документированной информации как объекта собственности; защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах; сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством; обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения». Как видно из этого определения целей защиты, информационная безопасность — довольно емкая и многогранная проблема, охватывающая не только определение необходимости защиты информации, но и то, как ее защищать, от чего защищать, когда защищать, чем защищать и какой должна быть эта защита.

1. Основные определения и критерии классификации угроз

1.1 Основные понятия об угрозах

Угроза - это потенциальная возможность определенным образом нарушить информационную безопасность.

Попытка реализации угрозы называется атакой, а тот, кто предпринимает такую попытку - злоумышленником. Потенциальные злоумышленники называются источниками угрозы.

Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).

Промежуток времени от момента, когда появляется возможность использовать слабое место, и до момента, когда пробел ликвидируется, называется окном опасности, ассоциированным с данным уязвимым местом. Пока существует окно опасности, возможны успешные атаки на ИС.

Если речь идет об ошибках в ПО, то окно опасности «открывается» с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.

Для большинства уязвимых мест время существования окна опасности определяются следующими событиями:

1. должно стать известно о средствах использования пробела в защите;

2. должны быть выпущены соответствующие заплаты;

3. заплаты должны быть установлены в защищаемой ИС.

Новые уязвимые места и средства их использования появляются постоянно; это значит, во-первых, что почти всегда существуют окна опасности и, во-вторых, что отслеживание таких окон должно производиться постоянно, а выпуск и наложение заплат - как можно более оперативно.

Некоторые угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения ИС от качественного электропитания.

Подчеркнем, что само понятие «угроза» в разных ситуациях зачастую трактуется по-разному. Например, для подчеркнуто открытой организации угроз конфиденциальности может просто не существовать - вся информация считается общедоступной; однако в большинстве случаев нелегальный доступ представляется серьезной опасностью. Иными словами, угрозы, как и все в ИБ, зависят от интересов субъектов информационных отношений (и от того, какой ущерб является для них неприемлемым).

Угрозы можно классифицировать по нескольким критериям:

• по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;
• по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);
• по способу осуществления (случайные/преднамеренные действия природного/техногенного характера);
• по расположению источника угроз (внутри/вне рассматриваемой ИС).

1.2 Угрозы конфиденциальной информации

Под угрозами конфиденциальной информации принято понимать потенциальные или реально возможные действия по отношению к информационным ресурсам, приводящие к неправомерному овладению охраняемыми сведениями.

Такими действиями являются:

• ознакомление с конфиденциальной информацией
• различными путями и способами без нарушения ее целостности;
• модификация информации в криминальных целях как частичное или значительное изменение состава и содержания сведений;
• разрушение (уничтожение) информации как акт вандализма с целью прямого нанесения материального ущерба.

В конечном итоге противоправные действия с информацией приводят к нарушению ее конфиденциальности, полноты, достоверности и доступности (рис. 1.1), что в свою очередь приводит к нарушению как режима управления, так и его качества в условиях ложной или неполной информации.

Рис. 1.1

Каждая угроза влечет за собой определенный ущерб — моральный или материальный, а защита и противодействие угрозе призваны снизить его величину, в идеале — полностью, реально — значительно или хотя бы частично. Но и это удается далеко не всегда.

С учетом этого угрозы могут быть классифицированы по следующим кластерам, (рис. 1.2):

Рис. 1.2

Источниками внешних угроз являются:

• недобросовестные конкуренты;
• преступные группировки и формирования;
• отдельные лица и организации административно-управленческого аппарата.

Источниками внутренних угроз могут быть:

• администрация предприятия;
• персонал;
• технические средства обеспечения производственной и трудовой деятельности.

Соотношение внешних и внутренних угроз на усредненном уровне можно охарактеризовать так:

• 82% угроз совершается собственными сотрудниками
• фирмы при их прямом или опосредованном участии;
• 17% угроз совершается извне — внешние угрозы;
• 1% угроз совершается случайными лицами.

Угроза — это потенциальные или реальные действия, приводящие к моральному или материальному ущербу.

1.3 Угрозы информационной безопасности

Угроза – совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения конфиденциальности, доступности и (или) целостности информации. Классификация угроз представлена на рисунке 3.

Рис. 1.3

Основной целью защиты информации является обеспечение заданного уровня её безопасности.

Под заданным уровнем безопасности информации понимается такое состояние защищенности информации от угроз, при котором обеспечивается допустимый риск её уничтожения, изменения и хищения (не обеспечивается конфиденциальность, целостность и доступность.

При этом под уничтожением информации понимается не только её физическое уничтожение, но и стойкое блокирование санкционированного доступа к ней.

В общем случае при блокировке информации в результате неисправности замка или утери ключа сейфа, забывания пароля компьютера, искажения кода загрузочного сектора винчестера или дискеты и других факторах информация не искажается и не похищается и при определенных усилиях доступ к ней может быть восстановлен. Следовательно, блокирование информации прямой угрозы ее безопасности не создаст. При этом под уничтожением информации понимается не только её физическое уничтожение, но и стойкое блокирование санкционированного доступа к ней. При невозможности доступа к ней в нужный момент её пользователь теряет информацию так же, как если бы она были уничтожена.

Угроза может быть реализована с различной вероятностью. Вероятность реализации утраты безопасности информации определяет риск ее владельца.

Допустимость риска означает, что ущерб в результате реализации угроз не приведет к серьезным последствиям для собственника информации.

Ущерб может проявляться в разнообразных формах:

• неполучение прибыли, ожидаемой от информации при её материализации в новой продукции или принятии более обоснованного решения;
• дополнительные затраты на замену образцов техники, характеристики которой стали известны конкуренту;
• и другие.

По некоторым оценкам, например, попадание к конкуренту около 20% объёма конфиденциальной информации фирмы может привести к ее банкротству.

Риск владельца информации зависит от уровня инженерно-технической защиты информации, который, в свою очередь, определяется ресурсами системы.

Ресурс может быть определен в виде количества людей, привлекаемых к защите информации, в виде инженерных конструкций и технических средств, применяемых для защиты, денежных сумм для оплаты труда людей, строительства, разработки и покупки технических средств, их эксплуатации и других расходов.

2. Организационные источники и каналы утечки информации

2.1 Основы теории информации. Коммуникационный процесс

Чтобы дать исчерпывающую характеристику реального состояния объекта информационной безопасности в конкретный момент времени, необходимо описать не только сущность, виды и основы формирования угроз его информационной безопасности, но и возможные каналы утечки конфиденциальной информации.

В первую очередь необходимо рассмотреть основные понятия и некоторые основополагающие принципы теории информации.

Теория информации изучает количественные меры информации и способность различных систем передавать, хранить и обрабатывать информацию. Главная задача теории информации заключается в обнаружении математических закономерностей, управляющих системами, разработанными для связи и манипулирования информацией. Сходный круг вопросов исследует теория связи, однако она ориентирована больше на фундаментальные ограничения в области обработки и передачи информации, чем на сущность и порядок функционирования используемых средств и устройств. Теория информации может служить основой для изучения коммуникационного процесса с точки зрения различных проявлений негативного воздействия на передаваемую (обрабатываемую) в рамках этого процесса информацию, в особенности на информацию, подлежащую защите.

Предлагаемые для рассмотрения основные понятия теории информации неразрывно связаны с элементами структуры системы связи, а в некоторых случаях они сами являются этими элементами. Сравнение и сопоставление элементов поможет представить систему передачи конфиденциальной информации в форме некоторого коммуникационного процесса.