Информационная безопасность – определение, цель, компоненты

Информационные отношения, как правило, не выступают в чистом виде. Чаще всего они сопровождают другие отношения, например, в сфере управления, в области экономики, жизни граждан. Процессы этого сопровождения регламентируются законодательными и иными нормативными актами, устанавливая обязательность предоставления соответствующих видов информации, порядок ее распространения, правила доступа к ней и ограничения, ответственность за нарушения правил обращения с конфиденциальной информацией.[7]

Возникающие информационные отношения требуют решения вопросов, связанных с информационной безопасностью.

Под информационной безопасностью (ИБ) понимается защищенность информации и поддерживающей инфраструктуры от случайных и преднамеренных воздействий естественного или искусственного характера, чреватых нанесением материального ущерба или морального вреда владельцам (пользователям) информации и (или) ущерба поддерживающей инфраструктуры.

Таким образом, цель ИБ — обеспечение бесперебойной работы организации, минимизация ущерба от событий, таящих угрозу безопасности, посредством их предотвращения и сведения последствий к минимуму. Безопасность достигается путем реализации соответствующего комплекса мероприятий по управлению ИБ, которые могут быть представлены политиками, методами, процедурами, организационными структурами и функциями программного обеспечения. Указанные мероприятия должны обеспечить достижение целей ИБ.

ИБ состоит из трех основных компонентов:

1. конфиденциальность: обеспечение доступа к информации только авторизованным пользователям;

2. целостность: обеспечение достоверности и полноты информации и методов ее обработки;

3. доступность: обеспечение доступа к информации и связанным с ней активам авторизованных пользователей по мере необходимости.

Вышеуказанные компоненты определяют три вида угроз: угрозы нарушения доступности; угрозы нарушения целостности; угрозы нарушения конфиденциальности. [8]

Доступность информации – это свойство системы (среды, средств и технологии обработки), в которой циркулирует информация, характеризующееся способностью обеспечивать своевременный беспрепятственный доступ субъектов к интересующей их информации и готовность соответствующих автоматизированных служб к обслуживанию поступающих от субъектов запросов всегда, когда в обращении к ним возникает необходимость. Нарушение доступности представляет собой создание таких условий, при которых доступ к услуге или информации будет либо заблокирован, либо возможен за время, которое не обеспечит выполнение тех или иных бизнес-целей. Например, в случае выхода из строя сервера, на котором расположена требуемая для принятия стратегического решения информация, нарушается свойство доступности информации. А в случае изоляции по какой-либо причине (выход из строя сервера, отказ каналов связи) почтового сервера можно говорить о нарушении доступности информационной услуги «электронная почта».

Особо следует отметить тот факт, что причина нарушения доступности информации (услуги) не обязательно должна находиться в зоне ответственности владельца информации (услуги). В рассмотренном выше примере с нарушением доступности почтового сервера причина (отказ каналов связи) может лежать вне зоны ответственности администраторов сервера (например, отказ магистральных каналов связи). Также следует отметить, что понятие «доступность» субъективно в каждый момент времени для каждого из субъектов, потребляющих услугу или информацию в данный момент времени. В частности, нарушение доступности почтового сервера для одного сотрудника может означать срыв индивидуальных планов и потерю контракта, а для другого сотрудника той же организации – невозможность получить выпуск свежих новостей.

Целостность информации – это существование информации в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию). Чаще субъектов интересует обеспечение более широкого свойства – достоверности информации, которое складываетсяиз адекватности (полноты и точности) отображения состояния предметной области и непосредственно целостности информации, т.е. отсутствие ее искажения. Угрозы нарушения целостности – это угрозы, связанные с вероятностью модификации той или иной информации, хранящейся в ИС. Нарушение целостности может быть вызвано различными факторами – от умышленных действий персонала до выхода из строя оборудования.

Конфиденциальность информации – это способность системы обеспечивать целостность и сохранность информации ее законных пользователей. Угроза нарушения конфиденциальности заключается в том, что информация становится известной тому, кто не располагает полномочиями доступа к ней. Она имеет место всякий раз, когда получен доступ к некоторой секретной информации, хранящейся в вычислительной системе или передаваемой от одной системы к другой. Иногда, в связи с угрозой нарушения конфиденциальности, используется термин «утечка». Подобные угрозы могут возникать вследствие «человеческого фактора» (например, случайное делегирование тому или иному пользователю привилегий другого пользователя), сбоев работе программных и аппаратных средств.

Реализация каждой из указанных угроз в отдельности или их совокупности приводит к нарушению режима информационной безопасности.

Все мероприятия по обеспечению ИБ условно можно рассматривать на двух основных уровнях:

1. уровень физического доступа к данным;

2. уровень логического доступа к данным.

Уровень физического доступа к данным рассматривает механизмы защиты данных от несанкционированного доступа (НСД) и механизмы защиты от повреждения физических носителей данных. Защита от НСД предполагает размещения серверного оборудования с данными в отдельном помещении, доступ к которому имеет лишь персонал с соответствующими полномочиями. В качестве средств защиты возможно создание географически распределенной системы серверов. Уровень защиты от физического повреждения предполагает организацию различного рода специализированных систем, предотвращающих подобные процессы. К их числу относят: серверные кластера и сервера резервного копирования (back-up сервер). При работе в кластере (например, двух серверов) в случае физического отказа одного из них второй будет продолжать работу, таким образом, работоспособность вычислительной системы не будет нарушена, а данные не будут повреждены. При дополнительной организации резервного копирования (back-up сервера) возможно быстрое восстановление вычислительной системы и данных даже в случае выхода из строя и второго сервера в кластере.

Уровень логического доступа к данным предполагает защиту от НСД в систему (предназначенную для порождения, хранения и обработки данных любого класса – от простых учетных систем до решений класса ERP[9]) как на уровне баз данных, так и на уровне ядра системы и пользовательских форм. Защита на этом уровне предполагает принятие мер по предотвращению доступа к базе данных, как из Интернет, так и из локальной сети организации. На последний аспект обеспечения безопасности традиционно обращается мало внимания, хотя этот аспект напрямую связан с таким явлением, как промышленный шпионаж. Защита ядра системы предполагает, наряду с обозначенными выше мерами, вычисление контрольных сумм критических частей исполнимого кода и периодический аудит этих контрольных сумм. Подобный подход позволяет повысить общую степень защищенности системы.

Обеспечение безопасности на уровне пользовательских форм декларирует обязательное шифрование трафика, передающегося по локальной сети (или через Интернет) между клиентом (пользовательской формой) и приложением (ядром системы). Также безопасность на этом уровне может обеспечиваться вычислением контрольных сумм этих форм, с последующей их проверкой, принятием идеологии «разделения данных и кода». Например, система, построенная по технологии «тонкого клиента» с позиций обеспечения безопасности на данном уровне имеет преимущество перед системой, построенной по технологии «толстого клиента», поскольку на уровне пользовательских форм не предоставляет доступа к коду бизнес-логики (например, путем дизассемблирования исполняемого файла). К этому же уровню защиты относится механизм сертификации, когда в обмене между пользовательской формой и сервером, а также подлинность самой пользовательской формы подтверждается третьим участником обмена – центром сертификации.

Нарушения конфиденциальности, целостности и доступности информации могут быть вызваны различными опасными воздействиями на информационные системы.

Современная ИС состоит из большого числа компонентов различной степени автономности, которые связаны между собой и обмениваются данными. Практически каждый компонент может подвергнуться внешнему воздействию или выйти из строя.

Компоненты автоматизированной информационной системы можно разбить на следующие группы:

· аппаратные средства - компьютеры и их составные части (процессоры, мониторы, терминалы, периферийные устройства - дисководы, принтеры, линии связи);

· программное обеспечение (ПО) - приобретенные программы, исходные, объектные, загрузочные модули; операционные системы и системные программы (компиляторы, компоновщики), утилиты, диагностические программы;

• данные - хранимые временно и постоянно, на магнитных носителях, печатные, архивы, системные журналы;

· персонал - обслуживающий персонал и пользователи.

Опасные воздействия на информационную систему можно подразделить на случайные и преднамеренные. Причинами случайных воздействий при эксплуатации могут быть:

· аварийные ситуации из-за стихийных бедствий и отключений электропитания;

· отказы и сбои аппаратуры;

· ошибки в программном обеспечении;

· ошибки в работе персонала;

· помехи в линиях связи из-за воздействий внешней среды.

Преднамеренные воздействия - это целенаправленные действия нарушителя. В качестве нарушителя могут выступать служащий, посетитель, конкурент, наемник. Действия нарушителя могут быть обусловлены разными мотивами:

· недовольством служащего своей карьерой;

· взяткой;

· любопытством;

· конкурентной борьбой;

· стремлением самоутвердиться любой ценой.

Наиболее распространенным и многообразным видом компьютерных нарушений является несанкционированный доступ (НСД). НСД использует любую ошибку в системе защиты и возможен при нерациональном выборе средств ЗИ, их некорректной установке и настройке:

· Через человека:

o хищение носителей информации;

o чтение информации с экрана или клавиатуры;

o чтение информации из распечатки.

· Через программу:

o перехват паролей;

o расшифровка зашифрованной информации;

o копирование информации с носителя.

· Через аппаратуру:

o подключение специально разработанных аппаратных средств, обеспечивающих доступ к информации;

o перехват побочных электромагнитных излучений от аппаратуры, линий связи, сетей электропитания и т.д.

Компьютерные сети могут подвергаться удаленным атакам, при этом нападению может подвергаться не только конкретный компьютер, но и информация, передающаяся по сетевым каналам связи.