Основні аспекти інформаційної безпеки

Основні аспекти інформаційної безпеки пов’язані з доступністю, цілісністю та конфіденційністю інформації.

Рис.5.1. Основні аспекти інформаційної безпеки

Доступність – це можливість за прийнятний час одержати необхідну інформаційну послугу.

Цілісність – це актуальність і несуперечність інформації, її захищеність від руйнації і несанкціонованої зміни.

Конфіденційність– це захист інформації від несанкціонованого читання.

Крім того, інформацію слід використовувати відповідно до чинного законодавства. Але специфіка ІТ полягає у винятково швидких темпах розвитку. Тому законодавство майже завжди відстає від потреб практики, і це створює певні проблеми.

Політика безпеки (ПБ) – це комплекс законів, правил та норм поведінки, що визначають, яким чином підприємство обробляє, захищає та поширює інформацію.

Рис.5.2. Ієрархічна декомпозиція аналізу систем захисту

Механізми захисту - це криптографічні протоколи, криптографічні алгоритми, системи створення захищеного середовища, системи оновлення ресурсів тощо. Вони дозволяють реалізувати системи підтримки політики безпеки.

Загроза - це потенційно можлива несприятлива дія на інформацію. Спектр загроз безпеки досить великий. З огляду на те, що на безпеку об'єктів захисту впливає багато різноманітних загроз, принципи створення і роботи засобів захисту також досить різноманітні. Загрози інформації – це способи реалізації впливів, що вважаються небезпечними.

Інформація має цінність, тому для ефективного її збереження необхідно знати, в чому саме ця цінність полягає та яка небезпека їй загрожує:

· якщо цінність інформації втрачається при її розкритті, то вважають, що існує небезпека порушення таємності інформації;

· якщо цінність інформації втрачається при зміні або знищенні інформації, то вважають, що існує небезпека для цілісності інформації;

· якщо цінність інформації в її оперативному використанні, то вважають, що існує небезпека порушення доступності інформації;

· якщо цінність інформації втрачається при збоях у системі, то вважають, що існує небезпека втрати стійкості до помилок.

Приміром, загроза перехоплення випромінювання з дисплея призводить до втрати таємності, загроза пожежі - до порушення цілісності інформації, загроза розірвання каналу може реалізувати небезпеку втрати доступності. Загроза збою електроенергії може спричинити небезпеку неправильної оцінки ситуації у системі управління.

Класи загроз інформації:

· порушення конфіденційності;

· порушення цілісності (логічної і фізичної);

· порушення доступності або відмова в обслуговуванні;

· порушення здатності до спостереження або керованості;

· несанкціоноване використання інформаційних ресурсів.

Кожний з класів містить більш конкретні види загроз, приміром, для порушення конфіденційності це:

а) загрози при управлінні потоками інформації;

б) загрози існування безконтрольних потоків інформації (наявність прихованих каналів);

в) порушення конфіденційності при обміні - загрози при експорті/імпорті інформації через незахищене середовище.

Дестабілізуючий фактор (ДФ) - це подія, наслідком якої може бути загроза інформації.

ДФ може виникати на будь-якому етапі життєвого циклу ІС. Усі відомі ДФ можна поділити на такі типи:

· кількісна недостатність - фізична нестача компонентів ІС для забезпечення необхідної захищеності інформації;

· якісна недостатність - недосконалість конструкції або організації компонентів ІС, внаслідок чого не забезпечується необхідна захищеність інформації, що обробляється;

· відмова елементів - порушення працездатності елементів, що призводить до неможливості виконання ними своїх функцій;

· збій елементів - тимчасове порушення працездатності елементів, яке призводить до неправильного виконання ними в цей момент своїх функцій;

· помилки елементів - неправильне (одноразове або систематичне) виконання елементами своїх функцій унаслідок їх специфічного (постійного або тимчасового) стану;

· стихійні лиха - випадково виникаючі неконтрольовані явища, що призводять до фізичних руйнувань;

· зловмисні дії - дії людей, спеціально націлені на порушення захищеності інформації;

· побічні явища - явища, що супутні виконанню елементом ІС своїх функцій.

Порушник – особа, яка здійснила спробу виконання забороненої операції (дії) за помилкою, незнанням або свідомо зі злими намірами (з корисливих інтересів або без таких - заради гри або задоволення, з метою самоствердження). Для досягнення своєї мети порушник має прикласти певні зусилля, витратити певні ресурси, використовуючи для цього різні можливості, методи та засоби. Зловмисник - це порушник, який навмисно йде на порушення. Порушників поділяють на зовнішніх та внутрішніх.

Методи вторгнення поділяють на активні та пасивні.

Рис.5.3. Методи вторгнення

При активному вторгненні порушник прагне замінити інформацію, яка передається в повідомленні. Він може вибірково модифікувати, заміняти або додавати вірне чи невірне повідомлення, змінювати порядок повідомлень. Порушник може також анулювати або затримувати всі повідомлення. При пасивному вторгненні порушник тільки спостерігає за проходженням інформації лініями зв’язку, не вторгаючись ані в інформаційні потоки, ані в зміст інформації, що передається. Зазвичай він аналізує потік повідомлень, фіксує пункти призначення або факт проходження повідомлення, його розмір та частоту обміну, якщо зміст не підлягає розпізнанню.

Мотиви порушень можна поділити на три категорії: безвідповідальність, самоствердження та дії з корисливою метою.

Рис.5.4. Мотиви порушень

При порушеннях, викликаних безвідповідальністю, користувач цілеспрямовано або випадково здійснює руйнуючі дії, що не пов'язані проте зі злим умислом. Здебільшого це наслідок некомпетентності або недбалості. Деякі користувачі намагаються отримати доступ до системних даних заради самоствердження або у власних очах, або в очах колег.

Порушення безпеки ІС може бути викликано корисливим інтересом користувача системи, який цілеспрямовано намагається подолати систему захисту для доступу до інформації в ІС. Навіть наявність в ІС засобів, що роблять таке проникнення надзвичайно складним, не може цілком захистити її від проникнення.

Класифікацію порушників можна здійснювати й за багатьма іншими параметрами, приміром, за рівнем знань про систему або за рівнем можливостей.

Формування режиму інформаційної безпеки – це комплексна проблема. Заходи формування режиму інформаційної безпеки мають кілька рівнів: законодавчий рівень - закони, нормативні акти, стандарти тощо; адміністративний рівень – дії загального характеру, що виконуються керівництвом організації; процедурний рівень - конкретні заходи безпеки, пов’язані з людьми; технічний рівень – конкретні технічні засоби, апаратура, програмні продукти.

Найбільша питома вага форм захисту комп’ютерної інформації припадає саме на правові засоби. Сьогодні спеціальні закони, спрямовані на захист секретної інформації, прийняті в Австрії, Канаді, Данії, ФРН, Франції, Ізраїлі, Великобританії тощо. У деяких федеративних країнах, таких, як США, крім федеративних статутів з обробки інформації, існують аналогічні закони в різних штатах. Державна політика забезпечення інформаційної безпеки визначена в Законі України «Про основи державної політики в сфері науки і науково-технічної діяльності», прийнятому 13 грудня 1991 року.

Не нашли, что искали? Воспользуйтесь поиском: