Файл: Виды и состав угроз информационной безопасности (Основные положения информационной безопасности).pdf

Введение

Понятие информационная безопасность столь обширно, что в него можно вместить практически всё, что связано с защитой информации любого типа.

Это может быть — безопасность информации на уровне государства, а может быть защита личных данных пользователя компьютера. И каждое из этих действий является одинаково важным. В сумме — это действия по защите конфиденциальности, доступности, а также целостности информации. И защищать ее нужно самыми лучшими способами. В наше время кто владеет информацией — владеет миром.

Это могут быть такие простые вещи как защита собственного компьютера от вирусов и взлома, а могут быть более сложные, например соблюдение конфиденциальности информации на предприятии или в фирме.

Последствия пренебрежения средствами защиты информации могут быть серьёзными: украденные личные данные, которые можно использовать в корыстных целях (кража, мошенничество), украденные банковские данные (банковской карты), украденные различные разработки, идеи и материалы.

И все это может навредить Вам лично или организации и компании. А размеры этих последствий будут выражаться не только денежными потерями. Пострадают также репутация и доверие.

Но не смотря на столь пессимистичные прогнозы, выход есть, и он заключается в изучении источников угроз и комплексном применении технологий защиты информации. Кроме того, защита информации должна быть непрерывным процессом, ведь средства атаки на неё так же постоянно прогрессируют.

Глава 1. Основные положения информационной безопасности

1.1. Понятие информационной безопасности

Информация — результат и отражение в человеческом сознании, многообразие внутреннего и окружающего миров (сведения об окружающих человека предметах, явлений, действия других людей).

Информационная безопасность может рассматриваться в следующих значениях:

Состояние (качество) определённого объекта (в качестве объекта может выступать информация, данные, ресурсы автоматизированной системы, автоматизированная система, информационная система предприятия, общества, государства, организации и т. п.);

Деятельность, направленная на обеспечение защищённого состояния объекта (в этом значении чаще используется термин «защита информации»).

---

Информационная безопасность — это процесс обеспечения конфиденциальности, целостности и доступности информации.

Информационная безопасность — все аспекты, связанные с определением, достижением и поддержанием конфиденциальности, целостности, доступности, безотказности, подотчётности, аутентичности и достоверности информации или средств её обработки.

Безопасность информации (данных) — состояние защищённости информации (данных), при котором обеспечиваются её (их) конфиденциальность, доступность и целостность.

Безопасность информации (данных) определяется отсутствием недопустимого риска, связанного с утечкой информации по техническим каналам, несанкционированными и непреднамеренными воздействиями на данные и (или) на другие ресурсы автоматизированной информационной системы, используемые в автоматизированной системе.

Безопасность информации (при применении информационных технологий) — состояние защищённости информации (данных), обеспечивающее безопасность информации, для обработки которой она применяется, и информационную безопасность автоматизированной информационной системы, в которой она реализована.

Безопасность автоматизированной информационной системы — состояние защищённости автоматизированной системы, при котором обеспечиваются конфиденциальность, доступность, целостность, подотчётность и подлинность её ресурсов.

Информационная безопасность — защищённость информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений. Поддерживающая инфраструктура — системы электроснабжения, теплоснабжения, водоснабжения, газоснабжения, системы кондиционирования и т. д., а также обслуживающий персонал. Неприемлемый ущерб — ущерб, которым нельзя пренебречь.

Шушков Г.М., Сергеев И.В. определяют "информационную безопасность" как "процесс баланса между возникающими, воздействующими угрозами и успешностью противодействия этим угрозам со стороны органов государственной власти, отвечающих за безопасность государства".

Ценность информации — является важнейшим критерием при принятии решений о защите информации.

Уровень секретности — административная или законодательная мера, соответствующая мере ответственности лица за утечку или потерю секретной конкурентной информации, регламентируемой специальным документом с учетом государственно-стратегических и военно-стратегических, коммерческих, служебных или частных интересов.

---

Статистика защиты информации показывает, что защищать нужно не только секретную информацию, но и связанную с ней не секретную.

1.2. Принципы информационной безопасности

Под безопасностью автоматизированной информационной системы организации (учреждения) понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс функционирования, а также от попыток хищения, модификации или разрушения ее компонентов. Безопасность системы достигается обеспечением конфиденциальности обрабатываемой ею информации, а также целостности и доступности компонентов и ресурсов системы.

• Конфиденциальность компьютерной информации — это свойство информации быть известной только допущенным и прошедшим проверку (авторизацию) субъектам системы (пользователям, программам, процессам и т. д.).
• Целостность компонента (ресурса) системы — свойство компонента (ресурса) быть неизменным (в семантическом смысле) при функционировании системы.
• Доступность компонента (ресурса) системы — свойство компонента (ресурса) быть доступным для использования авторизованными субъектами системы в любое время.
• Законность/Этичность использования компонента (ресурса) системы — свойство компонента (ресурса) быть соответствующим законодательным и этическим нормам для использования субъектами системы.

Безопасность системы обеспечивается комплексом технологических и административных мер, применяемых в отношении аппаратных средств, программ, данных и служб с целью обеспечения доступности, целостности и конфиденциальности связанных с компьютерами ресурсов; сюда же относятся и процедуры проверки выполнения системой определенных функций в строгом соответствии с их запланированным порядком работы.

Систему обеспечения безопасности системы можно разбить на следующие подсистемы:

• компьютерную безопасность;
• безопасность данных;
• безопасное программное обеспечение;
• безопасность коммуникаций.

Компьютерная безопасность обеспечивается комплексом технологических и административных мер, применяемых в отношении аппаратных средств компьютера с целью обеспечения доступности, целостности и конфиденциальности связанных с ним ресурсов.

Безопасность данных достигается защитой данных от неавторизованных, случайных, умышленных или возникших по халатности модификаций, разрушений или разглашения.

Безопасное программное обеспечение представляет собой общецелевые и прикладные программы и средства, осуществляющие безопасную обработку данных в системе и безопасно использующие ресурсы системы.

---

Безопасность коммуникаций обеспечивается посредством аутентификации телекоммуникаций за счет принятия мер по предотвращению предоставления неавторизованным лицам критичной информации, которая может быть выдана системой в ответ на телекоммуникационный запрос.

1.3. Потенциальные угрозы информационной безопасности

Угрозы конфиденциальности данных и программ. Реализуются при несанкционированном доступе к данным (например, к сведениям о состоянии счетов клиентов банка), программам или каналам связи.

Угрозы целостности данных, программ, аппаратуры. Целостность данных и программ нарушается при несанкционированном уничтожении, добавлении лишних элементов и модификации записей, изменении порядка расположения данных, формировании фальсифицированных документов в ответ на законные запросы, при активной ретрансляции сообщений с их задержкой.

Угрозы доступности данных. Возникают в том случае, когда объект (пользователь или процесс) не получает доступа к законно выделенным ему службам или ресурсам. Эта угроза реализуется захватом всех ресурсов, блокированием линий связи несанкционированным объектом в результате передачи по ним своей информации или исключением необходимой системной информации.

Способы воздействия угроз на объекты информационной безопасности подразделяются на информационные, программно-математические, физические, радиоэлектронные и организационно-правовые.

К информационным способам относятся:

• нарушение адресности и своевременности информационного обмена, противозаконный сбор и использование информации;
• несанкционированный доступ к информационным ресурсам;
• манипулирование информацией (дезинформация, сокрытие или искажение информации);
• незаконное копирование данных в информационных системах;
• нарушение технологии обработки информации.

Программно-математические способы включают:

• внедрение компьютерных вирусов;
• установку программных и аппаратных закладных устройств;
• уничтожение или модификацию данных в автоматизированных информационных системах.

Физические способы включают:

• уничтожение или разрушение средств обработки информации и связи;
• уничтожение, разрушение или хищение машинных или других оригинальных носителей информации;
• хищение программных или аппаратных ключей и средств криптографической защиты информации;
• воздействие на персонал;
• поставку «зараженных» компонентов автоматизированных информационных систем.

---

Радиоэлектронными способами являются:

• перехват информации в технических каналах ее возможной утечки;
• внедрение электронных устройств перехвата информации в технические средства и помещения;
• перехват, дешифровка и навязывание ложной информации в сетях передачи данных и линиях связи;
• воздействие на системы аутентификации;
• радиоэлектронное подавление линий связи и систем управления.

Организационно-правовые способы включают:

• невыполнение требований законодательства и задержки в принятии необходимых нормативно-правовых положений в информационной сфере;
• неправомерное ограничение доступа к документам, содержащим важную для граждан и организаций информацию.

Негативные факторы способствующие реализации угроз информационной безопасности

• Объективные социально-психологические особенности персонала и пользователей
• Нелояльность персонала и пользователей
• Нелояльность посторонних лиц и организаций
• Особенности используемого программного обеспечения
• Вредоносные программы
• Конструктивные и технологические особенности аппаратуры
• Эксплуатационный износ, физическое старение магнитных носителей, возможные отказы оборудования
• Совместная обработка информации разной категории конфиденциальности
• Возможные проблемы с электропитанием
• Неблагоприятные факторы воздействия внешней среды на аппаратуру
• Пожароопасность, возможность стихийных бедствий, аварий и других воздействий техногенного характера
• Технические каналы утечки информации
• Технологический мусор

1.4. Компьютерные преступления

Под компьютерным преступлением следует понимать предусмотренные законом общественно-опасные деяния, совершаемые с использованием средств компьютерной техники. Правомерно также использовать термин «компьютерное преступление» в широком значении как социологическую категорию, а не как понятие уголовного права.

Виды компьютерных преступлений:

• несанкционированный доступ в корыстных целях к информации, хранящейся в компьютере или информационно-вычислительной сети. Несанкционированный доступ осуществляется, как правило, с использованием чужого-имени, изменением физических адресов технических устройств, использованием информации, оставшейся после решения задач, модификацией программного и информационного обеспечения, хищением носителя информации, установкой аппаратуры записи, подключаемой к каналам передачи данных. Бывает, что некто проникает в компьютерную систему, выдавая себя за законного пользователя. Самый простой путь его осуществления — получить коды и другие идентифицирующие шифры законных пользователей.
• разработка и распространение компьютерных вирусов. Программы-вирусы обладают свойствами переходить через коммуникационные сети из одной системы в другую, распространяясь как вирусное заболевание;
• ввод в программное обеспечение «логических бомб». Это такие программы, которые срабатывают при выполнении определенных условий и частично или полностью выводят из строя компьютерную систему;
• халатная небрежность при разработке, создании и эксплуатации программно-вычислительных комплексов компьютерных сетей, приведшая к тяжким последствиям. Особенностью компьютерных систем является то, что абсолютно безошибочных программ в принципе не бывает. Если проект практически в любой области техники можно выполнить с огромным запасом надежности, то в области программирования такая надежность весьма условна, а в ряде случаев почти недостижима;
• подделка и фальсификация компьютерной информации. По-видимому, этот вид компьютерной преступности является одним из наиболее распространенных. Он представляет собой разновидность несанкционированного доступа с той лишь разницей, что пользоваться им может сам разработчик, причем имеющий достаточно высокую квалификацию. Идея преступления состоит в подделке выходной информации с целью имитации работоспособности больших систем, составной частью которых является компьютер. При достаточно ловко выполненной подделке зачастую удается сдать заказчику заведомо неисправную продукцию.
• хищение программного обеспечения. Если «обычные» хищения подпадают под действие существующего уголовного закона, то проблема хищения программного обеспечения значительно более сложна. Значительная часть программного обеспечения в России распространяется путем кражи и обмена краденым;
• несанкционированное копирование, изменение или уничтожение информации. При неправомерном обращении в собственность машинная информация может не изыматься из фондов, а копироваться. Следовательно, машинная информация должна быть выделена как самостоятельный предмет уголовно-правовой охраны;
• несанкционированный просмотр или хищение информации из банков данных, баз данных и баз знаний. В данном случае под базой данных следует понимать форму представления и организации совокупности данных (например: статей, расчетов), систематизированных таким образом, чтобы эти данные могли быть найдены и обработаны с помощью ЭВМ.

---