Три подхода к информационной безопасности

Угрозы безопасности компьютерных систем

Под угрозой безопасности вычислительной системе понимаются воздействия на систему, которые прямо или косвенно могут нанести ущерб ее безопасности. Разработчики требований безопасности и средств защиты выделяют три вида угроз: угрозы нарушения конфиденциальности обрабатываемой информации, угрозы нарушения целостности обрабатываемой информации и угрозы нарушения работоспособности системы (отказа в обслуживании).

Угрозы конфиденциальности направлены на разглашение секретной информации, т. е. информация становится известной лицу, которое не должно иметь к ней доступ. Иногда для обозначения этого явления используется понятие “несанкционированный доступ” (НСД), особенно популярное у отечественных специалистов. Традиционно противостоянию угрозам этого типа уделялось максимальное внимание и, фактически, подавляющее большинство исследований и разработок в области компьютерной безопасности было сосредоточено именно в этой области, т. к. она непосредственно относится к задаче охраны государственных и военных секретов.

Угрозы целостности представляют собой любое искажение или изменение неавторизованным на это действие лицом хранящейся в вычислительной системе или передаваемой информации. Целостность информации может быть нарушена как злоумышленником, так и результате объективных воздействий со стороны среды эксплуатации системы. Наиболее актуальна эта угроза для систем передачи информации — компьютерных сетей и систем телекоммуникаций,

Угрозы нарушения работоспособности (отказ в обслуживании) направлены на создание ситуаций, когда в результате преднамеренных действий ресурсы вычислительной системы становятся недоступными, или снижается ее работоспособность.

Цель защиты систем обработки информации — противодействие угрозам безопасности. Следовательно, безопасная или защищенная система — это система, обладающая средствами защиты которые успешно и эффективно противостоят угрозам безопасности.

Безопасность – это свойство информационной системы, характеризующее взаимодействие данного программного продукта с окружающей его средой. Производительность, масштабируемость, надежность являются непосредственными свойствами конкретных программных решений, в отличие от них безопасность зависит от взаимодействующих с системой механизмов и может изменяться. Таким образом, безопасность является условной характеристикой.

Можно определить связь безопасности и надежности. Под надежностью понимается устойчивость к сбоям, вызванным внешними и/или внутренними причинами. В отличие от безопасности надежность не зависит напрямую от внешних воздействий. Когда говорят о безопасности, понимается, что процесс не должен быть связан с угрозами, приводящими к нежелательным последствиям.

Существует три подхода к информационной безопасности:

1) Нормативный

Нормативный подход появился в 80-е годы XX века. Название подхода происходит от слова «норма», означающего некий эталон. Существуют различные стандарты информационной безопасности, документы в которых определены признаки, свойства и требования к безопасным информационным системам, также определена шкала, с помощью которой все системы можно оценить на предмет безопасности.

2) Теоретический

Теоретический подход основан на построении модели безопасности – некоего абстрактного представления реальной системы с точки зрения безопасности. Полученные модели должны быть теоретически и математически обоснованы. Чем сильнее математическая и теоретическая база построенной модели, тем безопаснее система.

3) Практический (экспериментальный)

Зарождение практического подхода определения безопасности можно связывать с началом эпохи Интернета. Безопасность системы при этом проверяется на практике: одна система более безопасна, чем другая, если она более устойчива к внешним воздействиям и лучше противостоит угрозам.

Из вышеизложенного можно сделать следующий вывод: и один из вышеперечисленных подходов не является исчерпывающим, поэтому при определении безопасности информационной системы используются все три подхода.

Цель данного курса — выяснить, что скрывается за понятием "информационная безопасность", т.к. без конструктивного определения этого понятия невозможно рассматривать основные принципы функционирования защищенных систем и технологии их создания.

Контрольные вопросы

1. Какие существуют подходы к определению информационной безопасности?

2. Какова главная задача стандартов информационной безопасности?

3. Что такое угроза информационной безопасности?

4. Какие выделяют виды угроз информационной безопасности?

5. Какова цель защиты систем обработки информации?

Лекция 2.

НОРМАТИВНЫЙ ПОДХОД. КЛАССИЧЕСКИЕ СТАНДАРТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Безопасность является качественной характеристикой системы, ее нельзя измерить в каких-либо единицах, более того, нельзя даже с однозначным результатом сравнивать безопасность двух систем — одна будет обладать лучшей защитой в одном случае, другая — в другом. Кроме того, у каждой группы специалистов, занимающихся проблемами безопасности информационных технологий, имеется свой взгляд на безопасность и средства ее достижения, а, следовательно, и свое представление о том, что должна представлять собой защищенная система. Разумеется, любая точка зрения имеет право на существование и развитие, но для того, чтобы объединить усилия всех специалистов в направлении конструктивной работы над созданием защищенных систем необходимо определить, что является целью исследований, что мы хотим получить в результате и чего в состоянии достичь.

Для ответа на эти вопросы и согласования всех точек зрения на проблему создания защищенных систем разработаны и продолжают разрабатываться стандарты информационной безопасности. Это документы, регламентирующие основные понятия и концепции информационной безопасности на государственном или межгосударственном уровне, определяющие понятие “защищенная система” посредством стандартизации требований и критериев безопасности, образующих шкалу оценки степени защищенности ВС.

В соответствии с этими документами ответ на поставленный вопрос в общем виде звучит так: защищенная система обработки информации — это система отвечающая тому или иному стандарту информационной безопасности. Конечно, это условная характеристика, она зависит от критериев, по которым оценивается безопасность, но у нее есть одно неоспоримое преимущество — объективность. Именно это позволяет осуществлять сопоставление степени защищенности различных систем относительно установленного стандарта.

Итак, рассмотрим, что представляет собой защищенная система с точки зрения существующих стандартов безопасности.

Дата добавления: 2014-11-20