Виды угроз информационным системам

Угрозы информационной системе можно рассматривать с позиций их воздействия на ее характеристики, такие, в частности, как готовность системы, ее надежность и конфиденциальность.

Готовность - способность ИС обеспечить законным пользователям условия доступа к ресурсам в соответствии с принятым режимом работы.

Надежность - способность системы обеспечивать информационные потребности только законным пользователям в рамках их интересов.

Конфиденциальность - способность системы обеспечивать целостность и сохранность информации ее законных пользователей.

Угрозы могут также классифицироваться и по природе возникновения - стихийные бедствия, несчастные случаи (чрезвычайные происшествия), различного рода ошибки или злоупотребления, сбои и отказы оборудования и др.

Кроме того, угрозы могут быть классифицированы по ориентации на угрозы персоналу, материальным и финансовым ресурсам и информации, как составным элементам информационной системы.

Неоднократно предпринимались попытки описать различные виды угроз и воздействий на информационные системы, дать характеристику степени опасности каждой из них. Однако большинство таких попыток сводилось к описанию угроз на достаточно высоком уровне абстракции, так как описать угрозы на конкретном, деятельном уровне просто не представляется возможным.

На стадии концептуальной проработки вопросов безопасности информационной системы представляется возможным рассмотрение общего состава потенциальных угроз. Конкретные перечни, связанные со спецификой и информационной системы, и условий требуют определенной детализации и характерны для этапа разработки конкретного проекта системы безопасности ИС.

В общем плане к угрозам безопасности относятся:

• похищения и угрозы похищения сотрудников, персонала, членов их семей и близких родственников;

• убийства, сопровождаемые насилием, издевательствами и пытками;

• психологический террор, угрозы, запугивание, шантаж, вымогательство;

• грабежи с целью завладения денежными средствами, ценностями и документами.

Преступные посягательства в отношении помещений (в том числе и жилых), зданий и персонала проявляются в виде:

• взрывов;

• обстрелов из огнестрельного оружия, сигнальных ракетниц, ручных гранатометов;

• минирования, в том числе с применением дистанционного управления;

• поджогов, бросков канистр и иных емкостей с легковоспламеняющейся жидкостью;

• нападения, вторжения, захваты, пикетирования, блокирования;

• актов вандализма, повреждения входных дверей, решеток, ограждений, витрин, мебели, а также транспортных средств, личных и служебных.

Цель подобных акций:

• откровенный террор в отношении коммерческого предприятия;

• нанесение серьезного морального и материального ущерба;

• срыв на длительное время нормального функционирования предприятия;

• вымогательство значительных сумм денег или каких-либо льгот (кредиты, отсрочка платежей и т. п.) перед лицом террористической угрозы.

Угрозы информационным ресурсам проявляются в овладении конфиденциальной информацией, ее модификации в интересах злоумышленника или ее разрушении с целью нанесения материального ущерба.

Осуществление угроз информационным ресурсам может быть произведено:

• через имеющиеся агентурные источники в органах государственного управления, коммерческих структур, имеющих возможность получения конфиденциальной информации;

• путем подкупа лиц, непосредственно работающих на предприятии или в структурах, непосредственно связанных с его деятельностью;

• путем перехвата информации, циркулирующей в средствах и системах связи и вычислительной техники, с помощью технических средств разведки и съема информации, несанкционированного доступа к информации и преднамеренных программно-математических воздействий на нее в процессе обработки и хранения;

• путем подслушивания конфиденциальных переговоров, ведущихся в служебных помещениях, служебном и личном автотранспорте, на квартирах и дачах;

• через переговорные процессы с иностранными или отечественными фирмами, используя неосторожное обращение с информацией;

• через «инициативников» из числа сотрудников, которые хотят заработать деньги и улучшить свое благосостояние или проявляют инициативу по другим моральным или материальным причинам.

К факторам, приводящим к информационным потерям и, как следствие, к различным видам убытков или ущерба, можно отнести следующие причины и действия.

1. Материальный ущерб, связанный с несчастными случаями, вызывает частичный или полный вывод из строя оборудования или информационного ресурса. Причинами этого могут быть:

• пожары, взрывы, аварии;

• удары, столкновения, падения;

• воздействия твердых, газообразных, жидких или смешанных химических или физических сред;

• поломка элементов машин различного характера: механического, электрического, электронного и электромагнитного;

• последствия природных явлений (наводнения, бури, молнии, град, оползни, землетрясения и т. д.).

2. Кражу и преднамеренную порчу материальных средств. Воруют главным образом небольшие по габаритам аппаратные средства (мониторы, клавиатуру, принтеры, модемы, кабели и оргтехнику), информационные носители (диски, дискеты, ленты, магнитные карты и др.) и различное другое имущество и ЗИП (документация, комплектующие и др.).

Посягательства и вредительские действия проявляются в самых различных формах: явные (например, оставленная отвертка внутри печатающего устройства, в корпусе вентилятора процессора) или скрытые (например, вредные химические вещества в помещениях и аппаратуре).

3. Аварии и выход из строя аппаратуры, программ и баз данных. Остановка или нарушение деятельности информационных центров не такие уж редкие события, а продолжительность этих состояний в основном небольшая. Но иногда между тем прямые и косвенные последствия этих действий могут быть весьма значительными. Последствия этих действий к тому же не могут быть заранее предусмотрены и оценены.

4. Убытки, связанные с ошибками накопления, хранения, передачи и использования информации. Эти ошибки связаны с человеческим фактором, будь-то при использовании традиционных носителей информации (дискеты, ленты) или при диалоговом обмене в режиме удаленного доступа.

При традиционных носителях цена обычной ошибки, даже после уточнения, может достигнуть 0,5 %. Формальный и информационный контроль позволяют уменьшить величину ущерба, но тем не менее число таких ошибок не уменьшается. Их последствия редко бывают весьма значительными, однако представляют собой достаточно постоянный поток и приносят постоянные потери, обусловленные поиском, устранением и последующим повторением действий, а это невосполнимые потери времени и денег.

При диалоговом режиме дополнительно прибавляются ошибки восприятия, чтения, интерпретации содержания и соблюдения правил.

Ошибки передачи зависят от используемой техники. Они могут быть простыми при использовании средств почтовой связи и чисто техническими (телепередача). В обоих случаях могут быть потери, ошибки неумения, оплошности, наличие помех, сбои и искажения отдельных букв или сообщений. Ошибки подобного рода оцениваются как потери предприятия. И хотя их трудно определить и оценить, но учитывать необходимо. Не следует недооценивать эту категорию угроз, хотя к ним довольно быстро привыкают.

5. Ошибки эксплуатации. Эти ошибки могут приобретать различные формы: нарушение защиты, переполнение файлов, ошибки языка управления данными, ошибки при подготовке и вводе информации, ошибки операционной системы, ошибки программы, аппаратные ошибки, ошибочное толкование инструкций, пропуск операций и т. д.

Диапазон ошибок людей значителен. Иногда трудно установить различие между ошибкой, небрежностью, утомлением, непрофессионализмом и злоупотреблением.

6. Концептуальные ошибки и ошибки внедрения. Концептуальные ошибки могут иметь драматические последствия в процессе эксплуатации информационной системы.

Ошибки реализации бывают в основном менее опасными и достаточно легко устранимыми.

7. Убытки от злонамеренных действий в нематериальной сфере. Мошенничество и хищение информационных ресурсов - это одна из форм преступности, которая в настоящее время является довольно безопасной и может принести больший доход, чем прямое ограбление банка. Между тем, учитывая сложность информационных систем и их слабые стороны, этот вид действий считается достаточно легко реализуемым.

Нередко все начинается случайно, часто с небольшого правонарушения: обмана, воровства, только для того чтобы установить, что это не слишком трудное дело и в больших масштабах. Единственным препятствием остается только совесть. Мошенничество часто имеет внутренние побудительные мотивы или совершается в корыстных целях, по договоренности с третьими лицами (сотрудничество).

8. Болтливость и разглашение. Эти действия, последствия которых не поддаются учету, относятся к числу трудноконтролируемых и могут находиться в рамках от простого, наивного хвастовства до промышленного шпионажа в коммерческой деятельности - таков их диапазон.

9. Убытки социального характера. Речь идет об уходе или увольнении сотрудников, забастовках и других действиях персонала, приводящих к производственным потерям и неукомплектованности рабочих мест. Опасность этих действий существует почти всегда.

Особо опасный вид угроз представляет промышленный шпионаж как форма недобросовестной конкуренции.

Промышленный шпионаж - это наносящие владельцу коммерческой тайны ущерб незаконный сбор, присвоение и передача сведений, составляющих коммерческую тайну, а также ее носителей лицом, не уполномоченным на это ее владельцем.

Дата добавления: 2014-01-05