Основные угрозы целостности и конфиденциальности. Законодательный уровень информационной безопасности.

Угроза безопасности - совокупность условий и факторов, создающих опасность жизненно важным интересам личности, общества и государства.

Реальная и потенциальная угроза объектам безопасности, исходящая от внутренних и внешних источников опасности, определяет содержание деятельности по обеспечению внутренней и внешней безопасности.

В соответствии же с определением словаря русского языка С.И. Ожегова под угрозой понимается «намерение нанести физический, материальный или иной вред общественным или личным интересам, возможная опасность».

Источники угроз безопасности информации, их классификация

Угрозы сами по себе не проявляются. Все угрозы могут быть реализованы только при наличии каких-нибудь слабых мест – уязвимостей, присущих объекту информатизации. Уязвимость – некая слабость, которую можно использовать для нарушения информационной автоматизированной системы или содержащейся в ней информации. Особое внимание при рассмотрении ИБ должно уделяться источникам угроз, в качестве которых могут выступать как субъекты (личность), так и объективные проявления. Причем сами источники угроз могут находиться как внутри объекта информатизации – внутренние, так и вне его – внешние.

В качестве источников угроз могут быть: действия субъекта (антропогенные источники угроз); технические средства (техногенные источники угрозы); стихийные источники.

К антропогенным источникам угроз относятся субъекты, действия которых могут быть квалифицированы как умышленные или случайные преступления. К техногенным источникам угроз относятся источники, определяемые технократической деятельностью человека и развитием цивилизации. К стихийным источникам угроз относятся стихийные бедствия или иные обстоятельства, которые невозможно или возможно предусмотреть, но невозможно предотвратить при современном уровне человеческого знания и возможностей. Однако наибольший ущерб информации и информационным системам наносят неправомерные действия сотрудников и компьютерные вирусы. Американские специалисты утверждают, что до 85% случаев промышленного шпионажа ведётся силами сотрудников компании, в которой это происходит. В 2005 г. более трети финансовых потерь и потерь данных в организациях происходило по вине их собственных сотрудников. Решение этих проблем относится к компетенции администрации и службы безопасности организации. При этом рекомендуется шифровать даже внутрифирменную переписку.

С развитием сетевых информационных технологий вирусы стали представлять реальную угрозу для пользователей сетевых и локальных компьютерных систем.

Всё большую роль в области несанкционированных воздействий на информацию, здания, помещения, личную безопасность пользователя и обслуживающий персонал играют ошибочные (в т.ч. случайные) и преднамеренные действия людей.

Типичными причинами нарушения безопасности на объекте являются: ошибки индивидов или неточные их действия; неисправность и (или) отказ используемого оборудования; непредсказуемые и недопустимые внешние проявления; неисправность и (или) отсутствие необходимых средств защиты; случайные и преднамеренные воздействия на информацию, защищаемые элементы оборудования, человека и окружающую среду.

Установлено, что ошибочные действия людей составляют 50–80%, а технических средств – 15–25% нарушений безопасности объектов и данных. Ошибочные и несанкционированные действия людей объясняются недостаточной их дисциплинированностью и подготовленностью к работе, опасной технологией и несовершенством используемой ими техники. Известно, что число связанных с человеческим фактором техногенных аварий и катастроф доходит до двух третей от общего их количества. Отрицательные информационные социально-психологические воздействия, в т.ч. дискомфорт, человек получает и в процессе работы с огромными массивами данных. Кроме стресса, он становится жертвой информационных перегрузок, информационного шума и т.п.

Анализ угроз ИБ показывает, что они также могут быть разделены на два вида: внутренние и внешние. Внутренние угрозы безопасности объекта защиты: неквалифицированная корпоративная политика по организации информационных технологий и управлению безопасностью корпорации; отсутствие должной квалификации персонала по обеспечению деятельности и управлению объектом защиты; преднамеренные и непреднамеренные действия персонала по нарушению безопасности; техногенные аварии и разрушения, пожары.

Внешние угрозы безопасности объекта защиты: негативные воздействия недобросовестных конкурентов и государственных структур; преднамеренные и непреднамеренные действия заинтересованных структур и лиц (сбор информации, шантаж, искажение имиджа, угрозы физического воздействия и др.); утечка конфиденциальной информации из носителей информации и обусловленных каналов связи; несанкционированное проникновение на объект защиты; несанкционированный доступ к носителям информации и обусловленным каналам связи с целью хищения, искажения, уничтожения, блокирования информации; стихийные бедствия и другие форс-мажорные обстоятельства; преднамеренные и непреднамеренные действия системных интеграторов и поставщиков услуг по обеспечению безопасности, поставщиков технических и программных продуктов, кадров.

При комплексном подходе к анализу угроз ИБ объекта информатизации необходимо провести: описание объекта; классификацию источников угроз; классификацию уязвимостей; классификацию методов реализации угроз; ранжирование актуальных атак; классификацию методов парирования угроз.

Структурированное описание объекта информатизации, представленное в виде типовых структурных компонентов информационной системы и связей между ними, характеризующих направления циркуляции и параметры потоков информации в совокупности с текстовыми пояснениями, позволяет выявить точки возможного применения угроз или вскрыть существующие уязвимости.

Анализ и оценка возможностей реализации угроз должны быть основаны на построении модели угроз, классификации, анализе и оценки источников угроз, уязвимостей и методов реализации. Моделирование процессов нарушения информационной безопасности может осуществляться на основе рассмотрения логической цепочки: угроза – источник угрозы – метод реализации – уязвимость – последствия. Каждый компонент рассматриваемой логической цепочки целесообразно описывается с необходимой подробностью.

Угрозы классифицируются по возможности нанесения ущерба при нарушении целей информационной безопасности; источники угроз – по типу и местоположению носителя угрозы; уязвимости – по принадлежности к источнику уязвимостей, возможным проявлениям. Классификация атак представляет собой совокупность возможных вариантов действий источника угроз определенными методами реализации с использованием уязвимостей, которые приводят к реализации целей атаки. Цель атаки может не совпадать с целью реализации угроз и быть направлена на получение промежуточного результата, необходимого для достижения в дальнейшем реализации угрозы. В случае несовпадения целей атаки с целью реализации угрозы сама атака рассматривается как этап подготовки к совершению действий, направленных на угрозы, то есть как «подготовка к совершению» противоправного действия. На основе проведенной классификации, ранжирования, анализа и определения актуальных угроз, источников угроз и уязвимостей определяются варианты возможных атак, которые позволяют оценить состояние информационной безопасности и оптимизировать выбор методов парирования угроз.

В современной литературе большинство авторов публикаций угрозу безопасности информации отождествляют либо с характером (видом, способом) дестабилизирующего воздействия на информацию, либо с последствиями (результатами) такого воздействия в виде ущерба, понесенного субъектом в результате нарушения его прав.

Категория «ущерб» справедлива только в том случае, когда можно доказать, что он причинен, то есть деяния, приводящие к ущербу, можно квалифицировать в терминах правовых актов как состав преступления.

Поэтому при определении угроз безопасности информации в этом случае целесообразно учитывать требования действующего уголовного права (Уголовный кодекс РК), определяющего состав преступления.

Аутентификация – это метод независимого от источника информации установления подлинности информации на основе проверки подлинности её внутренней структуры (“это тот, кем назвался?”).

Авторизация – в информационных технологиях это предоставление определённых полномочий лицу или группе лиц на выполнение некоторых действий в системе обработки данных. (“имеет ли право выполнять данную деятельность?”). Посредством авторизации устанавливаются и реализуются права доступа к ресурсам.

Идентификация – это метод сравнения предметов или лиц по их характеристикам, путём опознавания по предметам или документам, определения полномочий, связанных с доступом лиц в помещения, к документам и т.д. (“это тот, кем назвался и имеет право выполнять данную деятельность?”).

В современных информационных технологиях для эффективного использования этих методов, кроме физических мер охраны объектов, широко применяются программно-технические средства, основанные на использовании биометрических систем, криптографии и др.

Эффективность защиты информации в значительной степени зависит от своевременности обнаружения и исключения воздействий на неё, а, при необходимости, восстановления программ, файлов, информации, работоспособности компьютерных устройств и систем. Важной составляющей выполнения подобные действия являются программные и технические средства защиты.

Программные средства защиты – это самый распространённый метод защиты информации в компьютерах и информационных сетях. Обычно они применяются при затруднении использования некоторых других методов и средств. Проверка подлинности пользователя обычно осуществляется операционной системой. Пользователь идентифицируется своим именем, а средством аутентификации служит пароль.

Программные средства защиты представляют комплекс алгоритмов и программ специального назначения и общего обеспечения работы компьютеров и информационных сетей.

Они нацелены на:

· контроль и разграничение доступа к информации,

· исключение несанкционированных действий с ней,

· управление охранными устройствами и т.п.

Программные средства защиты обладают универсальностью, простотой реализации, гибкостью, адаптивностью, возможностью настройки системы и др.

Шифрование

Одним из наиболее известных способов защиты информации является её кодирование (шифрование, криптография). Оно не спасает от физических воздействий, но в остальных случаях служит надёжным средством. Код характеризуется: длиной – числом знаков, используемых при кодировании и структурой – порядком расположения символов, используемых для обозначения классификационного признака. Средством кодирования служит таблица соответствия (например кодовая таблица ASCII).

Общие методы криптографии существуют давно. Она считается мощным средством обеспечения конфиденциальности и контроля целостности информации. Пока альтернативы методам криптографии нет. Стойкость криптоалгоритма зависит от сложности методов преобразования. Вопросами разработки, продажи и использования средств шифрования данных и сертификации средств защиты данных занимается Гостехкомиссия РФ. Если использовать 256 и более разрядные ключи, то уровень надёжности защиты данных составит десятки и сотни лет работы суперкомпьютера. Для коммерческого применения достаточно 40-, 44-разрядных ключей.

Одной из важных проблем информационной безопасности является организация защиты электронных данных и электронных документов. Для их кодирования, с целью удовлетворения требованиям обеспечения безопасности данных от несанкционированных воздействий на них, используется электронная цифровая подпись (ЭЦП).

Цифровая подпись представляет последовательность символов. Она зависит от самого сообщения и от секретного ключа, известного только подписывающему это сообщение. Первый отечественный стандарт ЭЦП появился в 1994 году. Вопросами использования ЭЦП в России занимается Федеральное агентство по информационным технологиям (ФАИТ).

Физическая защита

Технические средства защиты используются в различных ситуациях, входят в состав физических средств защиты и программно-технических систем, комплексов и устройств доступа, видеонаблюдения, сигнализации и других видов защиты.

В простейших ситуациях для защиты персональных компьютеров от несанкционированного запуска и использования имеющихся на них данных предлагается устанавливать устройства, ограничивающие доступ к ним, а также работать со съёмными жёсткими магнитными и магнитооптическими дисками, самозагружающимися компакт дисками, флеш-памятью и др.

Для охраны объектов с целью защиты людей, зданий, помещений, материально-технических средств и информации от несанкционированных воздействий на них, широко используют системы и меры активной безопасности. Общепринято для охраны объектов применять системы управления доступом (СУД). Подобные системы обычно представляют собой автоматизированные системы и комплексы, формируемые на основе программно-технических средств.

В большинстве случаев для защиты информации, ограничения несанкционированного доступа к ней, в здания, помещения и к другим объектам приходится одновременно использовать программные и технические средства, системы и устройства.

В качестве технического средства защиты применяют различные электронные ключи, например, HASP (Hardware Against Software Piracy), представляющие аппаратно-программную систему защиты программ и данных от нелегального использования и пиратского тиражирования. Электронные ключи Hardlock используются для защиты программ и файлов данных.

В состав системы входит:

· собственно Hardlock,

· крипто-карта для программирования ключей

· и программное обеспечение для создания защиты приложений и связанных с ними файлов данных.

К основным программно-техническим мерам, применение которых позволяет решать проблемы обеспечения безопасности ИР, относятся:

· аутентификация пользователя и установление его идентичности;

· управление доступом к БД;

· поддержание целостности данных;

· защита коммуникаций между клиентом и сервером;

· отражение угроз, специфичных для СУБД и др.

Поддержание целостности данных подразумевает наличие не только программно-аппаратных средств поддержки их в рабочем состоянии, но и мероприятия по защите и архивированию ИР, дублированию их и т.п. Наибольшую опасность для информационных ресурсов, особенно организаций, представляет несанкционированное воздействие на структурированные данные – БД.

В целях защиты информации в БД важнейшими являются следующие аспекты информационной безопасности (европейские критерии):

· условия доступа (возможность получить некоторую требуемую информационную услугу);

· целостность (непротиворечивость информации, её защищённость от разрушения и несанкционированного изменения);

· конфиденциальность (защита от несанкционированного прочтения).

Эти аспекты являются основополагающими для любого программно-технического обеспечения, предназначенного для создания условий безопасного функционирования данных в компьютерах и компьютерных информационных сетях.

Контроль доступа – это процесс защиты данных и программ от их использования объектами, не имеющими на это права.

Управление доступом служит для контроля входа/выхода работников и посетителей организации через автоматические проходные (турникеты, арочные металодетекторы). Контроль их перемещения осуществляется с помощью систем видеонаблюдения.

В управление доступом входят устройства и (или) системы ограждения для ограничения входа на территорию (охрана периметров). Используются также методы визуализации (предъявление вахтёру соответствующих документов) и автоматической идентификации входящих/выходящих работников и посетителей.

К мерам, обеспечивающим сохранность традиционных и нетрадиционных носителей информации и, как следствие, самой информации относят технологии штрихового кодирования. Эта известная технология широко используется при маркировке различных товаров, в том числе документов, книг и журналов.

В организациях применяют:

· удостоверения,

· пропуска,

· читательские билеты и т.п., в том числе в виде пластиковых карт или ламинированных карточек, содержащих идентифицирующие пользователей штрих-коды.

Для проверки штрих-кодов используют сканирующие устройства считывания бар-кодов – сканеры. Они преобразуют считанное графическое изображение штрихов в цифровой код. Кроме удобства, штрих-коды обладают и отрицательными качествами: дороговизна используемой технологии, расходных материалов и специальных программно-технических средств; отсутствие механизмов полной защиты документов от стирания и пропажи.

Для защиты информации в информационных компьютерных сетях используют специальные программные, технические и программно-технические средства.

С целью защиты сетей и контроля доступа в них используют:

· фильтры пакетов, запрещающие установление соединений, пересекающих границы защищаемой сети;

· фильтрующие маршрутизаторы, реализующие алгоритмы анализа адресов отправления и назначения пакетов в сети;

· шлюзы прикладных программ, проверяющие права доступа к программам.

В качестве устройства, препятствующего получению злоумышленником доступа к информации, используют Firewalls (англ. “огненная стена” или “защитный барьер” – брандмауэр). Такое устройство располагают между внутренней локальной сетью организации и Интернетом. Оно ограничивает трафик, пресекает попытки несанкционированного доступа к внутренним ресурсам организации. Это внешняя защита.

Современные брандмауэры могут “отсекать” от пользователей корпоративных сетей незаконную и нежелательную для них корреспонденцию, передаваемую по электронной почте. При этом ограничивается возможность получения избыточной информации и так называемого “мусора” (спама).

Другим техническим устройством эффективной защиты в компьютерных сетях является маршрутизатор. Он осуществляет фильтрацию пакетов передаваемых данных. В результате появляется возможность запретить доступ некоторым пользователям к определённому “хосту”, программно осуществлять детальный контроль адресов отправителей и получателей.

Так же можно ограничить доступ всем или определённым категориям пользователей к различным серверам, например, ведущим распространение противоправной или антисоциальной информации (пропаганда секса, насилия и т.п.).

Защита может осуществляться не только в глобальной сети или локальной сети организации, но и отдельных компьютеров. Для этой цели создаются специальные программно-аппаратные комплексы.

Таким образом, методов парирования угроз достаточно много. Наиболее важными являются следующие:

- экономические: введение системы коэффициентов и надбавок; страхование оборудования и информации; возмещение убытков и компенсация ущерба.

- организационные: физическая защита и организация охраны; подбор и работа с персоналом; организация инструктажа персонала; выбор и работа с партнерами; контроль выполнения требований по защите; противопожарная охрана; организация взаимодействия с компетентными органам.

Для комплексной защиты информации, объектов и людей на различных предприятиях рекомендуется разрабатывать и внедрять соответствующие мероприятия. Комплексно мероприятия по обеспечению сохранности и защиты информации, объектов и людей включают организационные, физические, социально-психологические мероприятия и инженерно-технические средства защиты. Организационные мероприятия предполагают объединение всех составляющих безопасности. Во всём мире основную угрозу информации организации представляют её сотрудники, оказывающиеся психически неуравновешенными, обиженными или неудовлетворенными характером их работы, зарплатой, взаимоотношениями с коллегами и руководителями.

Социально-психологические мероприятия также относятся к организационным. Они включают регулярное проведение организационных мероприятий по недопущению отрицательных воздействий и явлений, по созданию работникам комфортных условий и нормального психологического климата. С этой целью в штат некоторых организаций входит психолог.

Физические мероприятия примыкают к организационным. Они заключаются в применении человеческих ресурсов, специальных технических средств и устройств, обеспечивающих защиту от проникновения злоумышленников на объект, несанкционированного использования, порчи или уничтожения ими материальных и людских ресурсов. Такими человеческими ресурсами являются лица ведомственной или вневедомственной охраны и вахтеры, отдельные, назначаемые руководством организации, сотрудники.

В качестве технических средств используются:

· решётки на окна,

· ограждения,

· металлические двери,

· турникеты,

· металодетекторы и др. П

рограммно-технические средства включают различные системы ограничения доступа на объект, сигнализации и видеонаблюдения.

Для комплексного обеспечения безопасности объекты оборудуются:

· системами связи,

· диспетчеризации,

· оповещения,

· контроля и управления доступом;

· охранными,

· пожарными,

· телевизионными и инженерными устройствами и системами;

· охранной, пожарной сигнализацией и автоматикой.

Успешному обеспечению безопасности способствуют заблаговременные мероприятия по выявлению и идентификации возможных угроз (опознание, предвидение, оценка, уменьшение вредного влияния на человека/среду обитания).

Заключение

Важно знать, что характерной особенностью электронных данных является возможность легко и незаметно искажать, копировать или уничтожать их. Поэтому необходимо организовать безопасное функционирование данных в любых информационных системах, т.е. защищать информацию. Защищённой называют информацию, не изменившую в процессе передачи, хранения и сохранения достоверность, полноту и целостность данных.

Несанкционированные воздействия наинформацию, здания, помещения и людей могут быть вызваны различными причинами и осуществляться с помощью разных методов воздействия. Подобные действия могут быть обусловлены стихийными бедствиями (ураганы, ливни, наводнения, пожары, взрывы и др.), техногенными катастрофами, террористическими актами и т.п. Борьба с ними обычно весьма затруднена из-за в значительной степени непредсказуемости таких воздействий.

Наибольший ущерб информации и информационным системам наносят неправомерные действия сотрудников и компьютерные вирусы. Для защиты информации в компьютерах и информационных сетях широко используются разнообразные программные и программно-технические средства защиты. Они включают различные системы ограничения доступа на объект, сигнализации и видеонаблюдения. Для защиты информации от утечки в компьютерных сетях используют специальное техническое средство – Firewalls, располагаемое между внутренней локальной сетью организации и Интернетом. Другим устройством эффективной защиты в компьютерных сетях является маршрутизатор.Он осуществляет фильтрацию пакетов передаваемых данных и, тем самым, появляется возможность запретить доступ некоторым пользователям к определённому “хосту”, программно осуществлять детальный контроль адресов отправителей и получателей и др.

Охрана и безопасность объектов, людей и информации достигается взаимодействием специальных радиоэлектронных приборов, устройств и электрооборудования, в т.ч. пожарной и охранной сигнализации, средств технической и инженерной защиты, специально подготовленного персонал и транспорта. В качестве технических средств используются решётки на окна, ограждения, металлические двери, турникеты, металодетекторы и др.

К наиболее практикуемым способам защиты информации относится её кодирование, предполагающее использование криптографических методов защиты информации. Оно не спасает от физических воздействий, но в остальных случаях служит надёжным средством. Другой метод предполагает использование устройств, ограничивающих доступ к объектам и данным. Ведущее место среди них занимают биометрические системы. Они позволяют идентифицировать человека по присущим ему специфическим статическим и динамическим признакам (отпечаткам пальцев, роговице глаза, форме руки, лицу, генетическому коду, запаху, голосу, почерку, поведению и др.).

Комплексно мероприятия по обеспечению сохранности и защиты информации, объектов и людей включают организационные, физические, социально-психологические мероприятия и инженерно-технические средства защиты.