Базовые понятия информационной безопасности

В соответствии с ГОСТ Р 50922-2006 Защита информации. Основные термины и определения безопасность информации - состояние защищенности информации, при котором обеспечены ее конфиденциальность, доступность и целостность. При этом под конфиденциальностью информации (ресурсов автоматизированной информационной системы) следует понимать состояние информации (ресурсов автоматизированной информационной системы), при котором доступ к ней (к ним) осуществляют только субъекты, имеющие на него право. Целостность информации (ресурсов автоматизированной информационной системы) – это состояние информации (ресурсов автоматизированной информационной системы), при котором ее (их) изменение осуществляется только преднамеренно субъектами, имеющими на него право. Доступность информации (ресурсов автоматизированной информационной системы) определяется как состояние информации (ресурсов автоматизированной информационной системы), при котором субъекты, имеющие право доступа, могут реализовать их беспрепятственно.

Угроза безопасности информации - это совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации[1].

Соблюдение требований к уровню безопасности обусловливает необходимость выявления перечня потенциальных угроз безопасности и установление возможных источников их возникновения.

Все множество потенциальных угроз безопасности делится на два класса: случайные и преднамеренные.

Угрозы, носящие случайный характер и связанные с отказами, сбоями аппаратуры, ошибками операторов и т.п., предполагают нарушение заданного алгоритма или программы обработки информации, искажение содержания этой информации.

Угрозы, носящие злоумышленный характер, вызваны, как правило, преднамеренным желанием субъекта осуществить несанкционированные изменения с целью нарушения корректной работы компьютерных систем (КС), которое, например, проявляется в искажениях содержания или структуры данных, в нарушении функционирования технических средств.

Кроме того, угрозы можно разделить на внешние и внутренние. Внешними угрозами безопасности функционирования КС, являются:

§ предумышленные негативные воздействия лиц с целью искажения, уничтожения или хищения программ и документов системы;

§ ошибки и несанкционированные воздействия оперативного, административного и обслуживающего персонала в процессе эксплуатации КС;

§ искажения в каналах телекоммуникации информации, поступающей от внешних источников и передаваемой потребителям, а также недопустимые значения и изменения характеристик потоков информации от объектов внешней среды;

§ сбои и отказы в аппаратуре вычислительных средств;

§ несанкционированный доступ и (или) воздействие на ПО вредоносных программ, в том числе компьютерных вирусов, распространяемых по каналам телекоммуникации и влияющих на информационную и функциональную безопасность ПО;

§ деструктивное воздействие программных закладок. Программная закладка - преднамеренно внесенные в программное обеспечение функциональные объекты, которые при определенных условиях инициируют реализацию недекларированных возможностей программного обеспечения;

§ изменения состава и конфигурации комплекса взаимодействующей аппаратуры системы или ПО за пределы, проверенные при испытаниях или сертификации.

Внутренними угрозами безопасности функционирования КС являются:

§ системные ошибки при постановке целей и задач проектирования функциональной пригодности ПО, при формулировке требований к функциям и характеристикам средств обеспечения безопасности решения задач;

§ дефекты и ошибки при определении функций, условий и параметров внешней среды, в которой предстоит применять защищаемое программное обеспечение;

§ алгоритмические ошибки проектирования при непосредственной алгоритмизации функций обеспечения безопасности аппаратуры, программных средств и баз данных при определении структуры и взаимодействия компонентов функциональных комплексов программ, а также при использовании информации баз данных;

§ ошибки и дефекты программирования в текстах программ и описаниях данных, а также в исходной и результирующей документации на компоненты ПО;

§ недостаточная эффективность используемых методов и средств оперативной защиты программ, обеспечения безопасности функционирования и восстановления работоспособности системы в условиях случайных и предумышленных негативных воздействий от внешней среды.

Носителями угроз безопасности информации являются источники угроз. Источник угрозы безопасности информации – субъект (физическое лицо, материальный объект или физическое явление), являющийся непосредственной причиной возникновения угрозы безопасности информации[2].

Все источники угроз безопасности информации можно разделить на три основные группы:

1) обусловленные действиями субъекта (антропогенные источники угроз);

2) обусловленные техническими средствами (техногенные источники угрозы);

3) обусловленные стихийными источниками.

Антропогенными источниками угроз безопасности информации выступают субъекты, действия которых могут быть квалифицированы как умышленные или случайные преступления. Только в этом случае можно говорить о причинении ущерба. Эта группа наиболее обширна и представляет наибольший интерес с точки зрения организации защиты, так как действия субъекта всегда можно оценить, спрогнозировать и принять адекватные меры. Методы противодействия в этом случае управляемы и напрямую зависят от воли организаторов защиты информации.

В качестве антропогенного источника угроз можно рассматривать субъекта, имеющего доступ (санкционированный или несанкционированный) к работе со средствами защищаемого объекта. Субъекты (источники), действия которых могут привести к нарушению безопасности информации могут быть как внешние, так и внутренние.

Внешние источники могут быть случайными или преднамеренными и иметь разный уровень квалификации, например, потенциальные преступники, представители надзорных организаций и аварийных служб, хакеры и др.

Внутренние источники, как правило, представляют собой высококвалифицированных специалистов в области разработки и эксплуатации программного обеспечения и технических средств, знакомых со спецификой решаемых задач, структурой и основными функциями и принципами работы программно-аппаратных средств защиты информации, имеющими возможность использования технических средств сети. К ним относятся основной персонал (пользователи, программисты, разработчики); представители службы защиты информации; вспомогательный персонал (уборщики, охрана) и др.

Необходимо учитывать также, что особую группу внутренних антропогенных источников составляют лица с нарушенной психикой, которые могут быть из числа персонала.

Техногенные источники угроз определяются технократической деятельностью человека и развитием цивилизации. Эти источники угроз менее прогнозируемые, напрямую зависят от свойств техники и поэтому требуют особого внимания. Техногенные источники угроз являются внешними, к ним можно отнести средства связи, технические средства обработки информации, программные средства обработки информации, средства охраны, сигнализации, телефонии и др.

Стихийные источники угроз составляют стихийные бедствия или иные обстоятельства, которые невозможно предусмотреть или предотвратить или возможно предусмотреть, но невозможно предотвратить при современном уровне человеческого знания и возможностей. Такие источники угроз совершенно не поддаются прогнозированию и поэтому меры защиты от них должны применяться всегда. Стихийные источники потенциальных угроз информационной безопасности являются внешними по отношению к защищаемому объекту и под ними понимаются, прежде всего, пожары, землетрясения и т.д.

Полное устранение угроз безопасности функционирования ПО принципиально невозможно. При создании сложных комплексов программ проблема состоит не только в выявлении угроз безопасности и их источников, но и в применении средств уменьшения их влияния на безопасность. Необходимо оценивать уязвимость ( возможность реализации угроз безопасности КС) программного обеспечения от различных негативных воздействий и степень их влияния на основные характеристики безопасности, а также на суммарный риск (сочетание вероятности нанесения ущерба и тяжести этого ущерба). В результате должны быть сформулированы соответствующие механизмы, необходимые для обеспечения работоспособности и безопасности программного обеспечения.

Дата добавления: 2014-01-20