Основные категории информационной безопасности кратко

Обновлено: 04.07.2024

Концептуальные и научно-методологические основы информационной безопасности еще только начинают разрабатываться. Первоочередной задачей при создании теории информационной безопасности следует считать формирование понятийного аппарата.

Базовыми понятиями являются информационная опасность, информационная угроза и информационная безопасность.

Информационная опасностьопределяется двояко:

• как состояние окружающей среды или объекта, в котором существует возможность причинить им существенный ущерб или вред путем оказания воздействия на информационную сферу объекта;

• как свойство объекта, характеризующееся способностью наносить существенный ущерб другому объекту путем оказания воздействия на его информационную сферу. В соответствии с этим информационная безопасность– это: состояние объекта, когда ему путем воздействия на его информационную сферу не может быть нанесен существенный ущерб или вред;

• свойство объекта, характеризующее его способность не наносить существенного ущерба какому-либо объекту путем оказания воздействия на информационную сферу этого объекта.

Информационная угроза– угроза объекту путем оказания воздействия на его информационную сферу:

• намерение нанести (причинить) объекту существенный ущерб путем оказания воздействия на его информационную сферу;

• информационная опасность, реализация которой становится весьма вероятной;

• фактор или совокупность факторов, создающих информационную опасность объекту; такими факторами могут быть действия, поведение объектов, природные явления и т. д.

Все вышесказанное позволяет сформулировать понятие информационной безопасности Российской Федерациикак такое состояние страны, в котором гражданам, объединениям и общественным группам граждан, обществу и государству не может быть нанесен существенный ущерб путем оказания воздействия на ее информационную сферу.

Основными объектами информационной безопасности являются личность (ее права и свободы), общество (его материальные и духовные ценности) и государство (его конституционный строй, суверенитет, территориальная целостность, экономика, военное дело и т. д.).

Личность – базовый элемент, ячейка общества. Без личности нет общества, но и личность вне общества существовать не может. Государство обеспечивает условия существования и личности, и общества. Государства, которые не нужны ни личности, ни обществу, не могут существовать долго и исчезают с исторической арены.

Баланс взаимоотношений между личностью, обществом и государством выступает главным условием их устойчивого развития.

При наличии желания и средств любая имеющаяся информация о конкретной личности может стать доступной и быть использована в своих целях другой личностью, группой лиц, общественной группой и государством.

Только незначительная часть населения способна предотвратить нежелательный доступ к своей информации. Большинство людей такой возможности не имеют и остаются беззащитными в этом плане.

Информационная безопасность общества– это состояние общества, в котором ему не может быть нанесен существенный ущерб путем воздействия на его информационную сферу.

В ее основе – безопасность индивидуального, группового и массового сознания граждан при наличии информационных угроз, к которым в первую очередь следует отнести информационно-психологическое воздействие.

Действие этих угроз может вызывать психоэмоциональную и социально-психологическую напряженность, искажение нравственных критериев и норм, морально-политическую дезориентацию и, как следствие, неадекватное поведение отдельных лиц, групп и масс людей. В результате таких воздействий возможны глубокие трансформации индивидуального, группового и массового сознания, негативные изменения морально-политического и социально-психологического климата в обществе.

Информационная безопасность государства– это состояние государства, в котором ему не может быть нанесен существенный ущерб путем оказания воздействия на его информационную сферу.

Обеспечение информационной безопасности государства неразрывно связано с обеспечением национальной безопасности.

Информация с точки зрения информационной безопасности обладает следующими категориями:

В отношении информационных систем применяются иные категории :

  • надежность – гарантия того, что система ведет себя в нормальном и внештатном режимах так, как запланировано
  • точность – гарантия точного и полного выполнения всех команд
  • контроль доступа – гарантия того, что различные группы лиц имеют различный доступ к информационным объектам, и эти ограничения доступа постоянно выполняются
  • контролируемость – гарантия того, что в любой момент может быть произведена полноценная проверка любого компонента программного комплекса
  • контроль идентификации – гарантия того, что клиент, подключенный в данный момент к системе, является именно тем, за кого себя выдает
  • устойчивость к умышленным сбоям – гарантия того, что при умышленном внесении ошибок в пределах заранее оговоренных норм система будет вести себя так, как оговорено заранее.

Информация с точки зрения информационной безопасности обладает следующими категориями:

Концептуальные и научно-методологические основы информационной безопасности еще только начинают разрабатываться. Первоочередной задачей при создании теории информационной безопасности следует считать формирование понятийного аппарата. Базовыми понятиями являются информационная опасность, информационная угроза и информационная безопасность.

Информационная опасностьопределяется двояко:

• как состояние окружающей среды или объекта, в котором существует возможность причинить им существенный ущерб или вред путем оказания воздействия на информационную сферу объекта;

• как свойство объекта, характеризующееся способностью наносить существенный ущерб другому объекту путем оказания воздействия на его информационную сферу.

В соответствии с этим информационная безопасность – это:

состояние объекта, когда ему путем воздействия на его информационную сферу не может быть нанесен существенный ущерб или вред;

• свойство объекта, характеризующее его способность не наносить существенного ущерба какому-либо объекту путем оказания воздействия на информационную сферу этого объекта.

Информационная угроза – угроза объекту путем оказания воздействия на его информационную сферу:

• намерение нанести (причинить) объекту существенный ущерб путем оказания воздействия на его информационную сферу;

• информационная опасность, реализация которой становится весьма вероятной;

• фактор или совокупность факторов, создающих информационную опасность объекту; такими факторами могут быть действия, поведение объектов, природные явления и т. д.

Все вышесказанное позволяет сформулировать понятие информационной безопасности Российской Федерациикак такое состояние страны, в котором гражданам, объединениям и общественным группам граждан, обществу и государству не может быть нанесен существенный ущерб путем оказания воздействия на ее информационную сферу.

Основными объектами информационной безопасности являются личность (ее права и свободы), общество (его материальные и духовные ценности) и государство (его конституционный строй, суверенитет, территориальная целостность, экономика, военное дело и т. д.).

Личность – базовый элемент, ячейка общества. Без личности нет общества, но и личность вне общества существовать не может. Государство обеспечивает условия существования и личности, и общества. Государства, которые не нужны ни личности, ни обществу, не могут существовать долго и исчезают с исторической арены. Баланс взаимоотношений между личностью, обществом и государством выступает главным условием их устойчивого развития.

Информационная безопасность личности – это состояние человека, в котором его личности не может быть нанесен существенный ущерб путем оказания воздействия на окружающее информационное пространство.

Информационная безопасность общества – это состояние общества, в котором ему не может быть нанесен существенный ущерб путем воздействия на его информационную сферу. В ее основе – безопасность индивидуального, группового и массового сознания граждан при наличии информационных угроз, к которым в первую очередь следует отнести информационно-психологическое воздействие. Действие этих угроз может вызывать психоэмоциональную и социально-психологическую напряженность, искажение нравственных критериев и норм, морально-политическую дезориентацию и, как следствие, неадекватное поведение отдельных лиц, групп и масс людей. В результате таких воздействий возможны глубокие трансформации индивидуального, группового и массового сознания, негативные изменения морально-политического и социально-психологического климата в обществе.

Информационная безопасность государства – это состояние государства, в котором ему не может быть нанесен существенный ущерб путем оказания воздействия на его информационную сферу. Обеспечение информационной безопасности государства неразрывно связано с обеспечением национальной безопасности.

Угрозами информационной инфраструктуре могут являться:

• нарушение адресности и своевременности информационного обмена, противозаконный сбор и использование информации;

• нарушение технологии обработки информации;

• внедрение в аппаратные и программные изделия компонентов, реализующих функции, не предусмотренные в документации на эти изделия;

• разработка и распространение программ, нарушающих нормальное функционирование информационных и информационно-телекоммуникационных систем, в том числе системы защиты информации;

• уничтожение, повреждение, радиоэлектронное подавление или разрушение средств и систем обработки информации, телекоммуникации и связи;

• хищение программных или аппаратных ключей и средств криптографической защиты информации;

• перехват информации в технических каналах, ее утечка, возникающая при работе технических средств обработки и хранения, а также во время передачи информации по каналам связи;

• внедрение электронных устройств перехвата информации в технические средства обработки, хранения и передачи информации по каналам связи, а также в служебные помещения органов государственной власти и организаций;

• уничтожение, повреждение, разрушение или хищение машинных и других носителей информации;

• перехват, дешифрование и навязывание ложной информации в сетях передачи данных, линиях связи и системах массовой информации;

• воздействие на парольно-ключевые системы защиты автоматизированных систем обработки и передачи информации;

• закупка за рубежом информационных технологий, средств информатизации, телекоммуникации и связи, имеющих отечественные аналоги, не уступающие по своим характеристикам зарубежным образцам.

Угрозами информационным ресурсам могут быть:

• деятельность космических, воздушных, морских и наземных технических средств разведки иностранных государств;

• осуществление несанкционированного доступа к информационным ресурсам и их противоправное использование;

• хищение информационных ресурсов из библиотек, архивов, банков и баз данных;

• нарушение законных ограничений на распространение информационных ресурсов.

В число первоочередных мероприятий, направленных на обеспечение информационной безопасности личности, входят следующие.

1. Развитие информационной культуры населения, в том числе развитие личностных способов активной и пассивной защиты от опасных информационных воздействий и привитие навыков технологически грамотного продуцирования информации.

2. Развитие законодательства в информационной сфере. Основным и, возможно, единственным гарантом соблюдения прав и свобод личности в информационном пространстве является государство. Эту функцию оно может реализовать только через соответствующие законы. Следует отметить, что законодательство в информационной сфере не имеет аналогов в истории. Поэтому к его разработке кроме юристов должны быть привлечены специалисты различных областей, в том числе информатики, информационных технологий, психологии, социологии, педагогики и т. д. В указанном направлении уже сделаны определенные шаги. Рабочей группой Межведомственной комиссии по информационной безопасности под руководством Совета безопасности РФ разработан проект концепции совершенствования правового обеспечения информационной безопасности РФ.

3. Создание системы мониторинга информационно-технологических факторов риска (возможно, путем расширения функций структур изучения общественного мнения, обеспеченных соответствующими методиками).

4. Расширение международного сотрудничества по вопросам безопасности в информационном пространстве. Диапазон проблем для обсуждения в рамках такого сотрудничества весьма широк. Это и установление согласованной точки зрения по проблемам воздействия информации на индивидуальное и массовое сознание, на психику человека, и подготовка соглашений (конвенций) о неиспользовании информационного пространства во враждебных целях, о контроле над производством и внедрением информационных технологий, которые могут быть использованы в террористических и криминальных целях, о международной правовой защите сетевых информационных ресурсов, о возможности контроля и ограничения распространения по глобальным сетям типа Интернета информации, оказывающей негативное воздействие на физическое, психическое и социальное здоровье людей, особенно детей и молодежи, и т. д.

Без реализации указанных и других мероприятий, направленных на создание необходимых условий для безопасного развития личности в современных условиях, немыслимо и устойчивое развитие экономики, и само будущее развитие России. Безопасность каждого предопределяет безопасность всех, в том числе государства.

Выводы

Информатизация общества порождает проблемы информационной безопасности, главные из которых – проблема информационных войн и информационного терроризма. Они носят глобальный характер, но для России приобретают особую остроту, что обусловлено ее геополитическим и экономическим положением.

Угрозы информационной безопасности России подразделяются по общей направленности (угрозы конституционным правам и свободам граждан, духовной жизни общества, информационной структуре, информационным ресурсам) и по способам воздействия (собственно информационные, программно-математические, физические и организационные).

В современном обществе информационная безопасность является важнейшим компонентом национальной безопасности. От нее в значительной степени зависит уровень экономической, оборонной, социальной, политической и других видов безопасности.

В теории и практике информационной безопасности можно выделить два направления: защита информации и информационно-психологическая безопасность. Информационно-психологическая безопасность создает условия для обеспечения психического здоровья отдельной личности и населения страны в целом, надежного функционирования государственных и общественных институтов, а также формирования индивидуального, группового и массового сознания, нацеленного на прогрессивное развитие общества. Информационная безопасность – залог устойчивого развития экономики и общества.

Информация, особенно в электронном виде, может быть представлена в разных видах. Информацией можно считать и отдельный файл, и базу данных, и одну запись в ней, и целиком программный комплекс. Все эти объекты могут подвергнуться и подвергаются атакам со стороны асоциальных лиц. При хранении, поддержании и предоставлении доступа к любому информационному объекту его владелец или уполномоченное им лицо накладывает набор правил по работе с ней. Умышленное их нарушение классифицируется как атака на информацию.

Компьютерные атаки приносят и огромный моральный ущерб. Никакому пользователю компьютерной сети не хочется, чтобы его письма кроме адресата получили еще 5-10 человек, или, весь текст, набираемый на клавиатуре, копировался в буфер, а затем при подключении к Интернет оправлялся на определенный сервер. А именно так часто и происходит. Несколько интересных цифр об атаках на информацию. Основные причины повреждений электронной информации распределяются следующим образом. Неумышленная ошибка человека - 52 % случаев, умышленные действия человека - 10 % случаев, отказ техники - 10 % случаев, повреж- дения в результате пожара - 15 % случаев, повреждения водой - 10 % случаев. Каждый десятый случай повреждения электронных данных связан с компьютерными атаками.

Что именно предпринимают злоумышленники, добравшись до информации, в 44 % случаев взлома были произведены непосредственные кражи денег с электронных счетов, в 16 % случаев выводилось из строя программное обеспечение, столь же часто - в 16 % случаев - проводилась кража информации с различными последствиями, в 12 % случаев информация была сфальси- фицирована, в 10 % случаев злоумышленники с помощью компьютера заказали услуги, к которым в принципе не должны были иметь доступа.

В отношении информационных систем применяются иные категории - надежность, точность, контроль доступа, контролируемость, контроль идентификации, устойчивость к умышленным сбоям. Надежность - гарантия того, что система в нормальном и внештатном режимах ведет себя так, как запланировано. Точность - гарантия точного и полного выполнения всех команд. Контроль доступа - гарантия того, что в любой момент может быть произведена полноценная проверка любого компонента программного комплекса. Контроль идентификации - гарантия того, клиент, подключенный в данный момент к системе, является именно тем, за кого он себя выдает. Устойчивость к умышленным сбоям - гарантия того, что при умышленным внесении ошибок в пределе заранее оговоренных норм система будет вести себя нормально.

3. Модели защиты информации.

Одна из первых моделей была модель Биба. Согласно ей все субъекты и объекты предварительно разделяются по нескольким уровня доступа, а затем на их взаимодействия накладываются два ограничения. Во-первых, субъект не может вызывать на исполнение субъекты с более низким уровнем доступа. Во-вторых, субъект не может модифицировать объекты с более высоким уровнем доступа. Модель Гогера-Гезингера основана на теории автоматов. Согласно ей система может при каждом действии переходить из одного разрешенного состояния только в несколько других. Субъекты и объекты в данной модели защиты разбиваются на группы - домены, и переход системы из одного состояния в другое выполняется только в соответствии с таблицей разрешений, в которой указано какие операции может выполнять субъект. В данной модели при переходе системы из одного состояния в другое используются транзакции, что обеспечивает общую целостность системы.

Сазерлендская модель защиты делает акцент на взаимодействии субъектов и потоков информации. Здесь используется машина состояний со множеством разрешенных комбинаций состояний и набором начальных позиций. В данной модели исследуется поведение множественных композиций функций перехода из одного состояния в другое.

Важную роль в теории защиты информации играет модель Кларка-Вилсона. Основана данная модель на повсеместном использовании транзакций и оформлении прав доступа субъектов к объектам. В данной модели впервые исследована защищенность третьей стороны в данной проблеме - стороны, поддерживающей всю систему безопасности. Эту роль в информационных системах обычно играет программа-супервизор. В модели Кларка-Вилсона транзакции впервые были построены по методу верификации, то есть идентификация субъекта перед выполнением команды от него и повторно после выполнения. Это позволило снять проблему подмены автора в момент между его идентификацией и собственно командой. Модель Кларка-Вилсона считается одной из совершенных в отношении поддержания целостности информационных систем.

Злоумышленники тщательно изучают системы безопасности перед проникновением в нее. Часто они находят очевидные и простые методы взлома, которые разработчики просто проглядели, создавая возможно очень хорошую систему идентификации или шифрования. Рассмотрим популярные и очевидные технологии несанкционированного доступа. Вспомним старое правило: "Прочность цепи не выше прочности самого слабого звена". Эта аксиома постоянно цитируется, когда речь идет о компьютерной безопасности. Например, как ни была прочна система, если пароль на доступ к ней лежит в текстовом файле в центральном каталоге или записан на экране монитора - это уже не конфиденциальная система. Примеров, в которых разработчики системы защиты забывают или не учитывают простые методы проникновения в систему можно найти немало.

Например, при работе в сети Интернет не существует надежного автоматического подтверждения того, что данный пакет пришел именно от того отправителя (IP-адреса), который заявлен в пакете. Это позволяет даже при применении надежного метода идентификации первого пакета подменять все остальные, просто заявляя, что все они пришли тоже с этого IP-адреса.

Примерно та же проблема существует в сети Novell Netware - в ней сервер может поддерживать одновременно до 254 станций, и при наличии мощной системы идентификации аутентификация пакета ведется только по номеру станции. Это позволяет проводить следующую атаку - в присутствии в сети клиента-супервизора злоумышленнику достаточно послать 254 пакета с командой серверу, которую он хочет исполнить, перебрав в качестве псевдоотправителя все 254 станции. Один из отправленных пакетов совпадет с номером соединения, на котором находится клиент-супервизор и команда будет принята сервером к исполнению. Остальные 253 пакета будут проигнорированы.

В отношении шифрования - мощного средства защиты передаваемой информации от прослушивания и изменения - можно привести следующий метод, неоднократно использованный на практике. Злоумышленник, не зная пароля, которым зашифрованы данные или команды, передаваемые по сети, не может прочесть их или изменить. Но если у него есть возможность наблюдать, что происходит в системе после получения конкретного блока данных, то он может, не раскодируя информацию, послать ее повторно и добьется результатов, аналогичных команде супервизора.

Все это заставляет разработчиков защищенных систем постоянно помнить о простых и очевидных способах проникновения в систему и предупреждать их в комплексе.

Терминалы - это точки входа пользователей в информационную сеть. Если к ним имеют доступ несколько человек, при их проектировании и эксплуатации необходимо тщательное соблюдение целого комплекса мер безопасности.Несмотря на самоочевидность, самым распространенным способом входа в систему при атаках на информацию остается вход через официальный log-in запрос в систему. Вычислительная техника, которая позволяет провести вход в систему , называется в теории информационной безопасности терминалом. Терминология восходит ко временам суперЭВМ и тонких терминальных клиентов. Если система состоит из одного персонального компьютера, то он одновременно считается и терминалом и сервером. Доступ к терминалу может быть физически, когда терминал - ЭВМ с клавиатурой и дисплеем, либо удаленным - чаще всего по телефонной линии ( в этом случае терминалом является модем, подключенный либо непосредственно к системе, либо к ее физическому терминалу).

При использовании терминалов с физическим доступом нужно соблюдать следующие требования. Защищенность терминала должна соответствовать защищенности помещения. Терминалы без пароля могут присутствовать только в тех помещениях, куда имеют доступ лица с соответствующим лил более высоким уровнем доступа. Отсутствие имени регистрации возможно только в том случае, если к терминалу имеет доступ только один человек, либо если на группу лиц, имеющих доступ, распространяются общие меры ответственности. Терминалы, установленные в публичных местах должны всегда запрашивать имя регистрации и пароль. Системы контроля за доступом в помещение с установленным терминалом должны работать полноценно и в соответствии с общей схемой доступа к информации. В случае установки терминала в местах с большим скоплением народа клавиатура и дисплей должны быть оборудованы устройствами, позволяющему видеть их только работающему в данный момент клиенту (непрозрачные пластмассовые или стеклянные ограждения).

При использовании удаленных терминалов необходимо соблюдать следующие правила. Любой удаленный терминал должен запрашивать имя регистрации и пароль. Того, чтобы якобы никто не знает шестизначного номера вашего служебного модема, не достаточно для конфиденциальности вашей системы. При наличии специального программного обеспечения, которое можно найти в сети Интернет, и тонового набора для одного звонка достаточно 4 секунд. Это означает, что за одну минуту можно перебрать около 15 номеров телефонной станции с тем, чтобы узнать существует ли на этом телефонном номере модем. За час таким образом можно перебрать 1000 номеров, а за рабочий день повтором в ночное время всю АТС - 10000 номеров. Подобные операции производятся довольно часто, особенно в отношении фирм, связанных с компьютерами и компьютерными сетями, а также в отношении промышленных предприятий. Вторым требованием является своевременное отключение всех модемов, не требующихся в данный момент фирме (по вечерам или во время обеда), либо не контролируемых в данный момент вашими сотрудниками. По возможности следует использовать схему возвратного звонка от модема, поскольку она гарантирует с уровнем надежности АТС то, что удаленный клиент получил доступ с определенного телефонного номера. Из log-in запроса терминала рекомендуется убрать все непосредственные упоминания имени фирмы, ее логотипы - это не позволит компьютерным вандалам перебирающим номера с модемами, узнать log-in какой фирмы они обнаружили. Для проверки правильности соединения можно использовать неординарную приветственную фразу, афоризм или фиксированную последовательность букв и цифр, которые будут запоминаться у постоянных операторов этого терминала. Также при входе в систему рекомендуется выводить на экран предупреждение о том, что вход в систему без полномочий преследуется по закону.

Безотносительно от физического или коммутируемого доступа к терминалу, линия, соединяющая терминал с зоной ядра информационной системы должна быть защищена от прослушивания или весь обмен информацией должен вестись по конфиденциальной схеме идентификации и надежной схеме аутентификации клиента. Дальнейшие действия взломщика, получившего доступ к терминальной точке входа могут развиваться по двум основным направлениям. Попытки выяснения пароля прямо или косвенно и попытки входа в систему, совершенно без знания пароля, основываясь на ошибках в реализации программного или аппаратного обеспечения.

По материалам отечественной прессы.

Открыт набор на уникальный курс повышения квалификации по управленческому учету, в котором своим опытом делятся не один, а три преподавателя-практика.

Читайте также: