1. Сущность понятий «информация» и «информационная безопасность»
В каждой отрасли и жизнедеятельности человека применяется информация. Возможность доступа информационных ресурсов важна для функционирования общества, в то же время информационный материал следует защищать. В книге «Обеспечение информационной безопасности бизнеса» есть высказывание «когда нет физических угроз, то и физическая защита не нужна, а вот информационная — нужна всегда», которое подтверждает необходимость защиты информации.
Первично информацией считались данные, передаваемые от человека к человеку разным образом (письменно, устно и иными способами).
В 20-м столетии определение «информация» получает общенаучный характер. Само понятие «информация» становится многозначным, базисным и всесторонним. Если рассуждать философски, то информация существует, не завися от людей. Мы будем рассматривать данный термин в узком смысле. Поэтому информация - это сведения, которые необходимо собирать, хранить, обрабатывать, использовать, а также передавать в системах информации. В свою очередь под системой информации подразумевается связь технических и программных средств и пользователей, которые имеют дело с этими объектами, которая осуществляет задачу обеспечения информационной технологии выполнением установленных функций. Дав определение понятию «информация», раскроем сущность термина «информационная безопасность».
Информационная безопасность – это сбережение и защита информации, а также её главных элементов, в том числе системы и оборудование, предназначенные для использования, сохранения и распространения данной информации.
«Под информационной безопасностью организации понимается состояние защищённости интересов (целей) организации в условиях угроз в информационной сфере.» (Книга «Обеспечение информационной безопасности бизнеса».)
Под информационной безопасностью государства понимается состояние сохранности информационных ресурсов государства и защищённости законных прав личности и общества в информационной сфере.
Информационная безопасность государства определяется способностью государства, общества, личности:
- с определённой вероятностью обеспечивать достаточные и защищённые информационные ресурсы и информационные потоки для поддержания своей жизнедеятельности и жизнеспособности, устойчивого функционирования и развития;
- сопротивляться информационным угрозам и опасностям, негативным информационным воздействиям на индивидуальное и общественное сознание и психику людей, а также на компьютерные сети и другие технические источники информации;
- отрабатывать личностные и групповые навыки и умения безопасного поведения;
- поддерживать постоянную готовность к адекватным мерам в информационном противоборстве, кем бы оно ни было навязано.
Защищённость человека от факторов опасности на уровне его личных интересов и потребностей – это личная информационная безопасность, которая имеет множество разновидностей. Связано это с тем, что личность является системой биосоциальной и выступает сразу в роли и человека как члена общества, и человека как живого организма, существующего в ограниченных параметрах окружающей среды.
2. Организационно-технические и режимные меры и методы
С целью описания этапов защиты информации определённой информационной системы, как правило, организуется Политика информационной безопасности или Политика безопасности рассматриваемой информационной системы.
Под Политикой безопасности понимается совокупность документированных процедур, правил, практических приёмов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности.
Правила, директивы, сложившаяся практика, которые определяют, как в пределах организации и её информационно-телекоммуникационных технологий управлять, защищать и распределять активы, в том числе критичную информацию – всё это составляет Политику безопасности информационно-телекоммуникационных технологий.
Рекомендуется для создания Политики информационной безопасности отдельно рассматривать следующие направления защиты информационной системы:
• защита каналов связи;
• защита объектов информационной системы;
• защита процессов, процедур и программ обработки информации;
• управление системой защиты;
• подавление побочных электромагнитных излучений.
Политика информационной безопасности по каждому из перечисленных выше направлений должна описывать следующие этапы создания средств защиты информации:
1) определение информационных и технических ресурсов, подлежащих защите;
2) нахoждение множества потенциально возможных угроз и каналов утечки информaции;
3) прoведение оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утeчки;
4) составление требований к системе защиты;
5) осуществление выбора средств защиты информации и их характеристик;
6) реализация выбранных мер, способов и средств защиты;
7) исполнение контроля целостности и управление системой защиты.
Утверждается Политика информационной безопасности как документированные требования на информационную систему. Обычно документы разделяются по уровням детализации процесса защиты.
Документация верхнего уровня Политики информационной безопасности показывает готовность организации защищать информацию, её стремление соответствовать государственным, международным требованиям и стандартам в этой области («Концепция ИБ», «Регламент управления ИБ», «Политика ИБ», «Технический стандарт ИБ»). Распределение документов верхнего уровня не ограничивается, однако данные документы могут выпускаться и в двух редакциях — для внешнего и внутреннего использования.
Средний уровень составляют документы, которые затрагивают некоторые аспекты информационной безопасности. Такие как, требования на создание и эксплуатацию средств защиты информации, организацию информационных и бизнес-процессов организации по конкретному направлению защиты информации. (Безопасности данных, Безопасности коммуникаций, Использования средств криптографической защиты, Контентная фильтрация). Данные документы обычно издаются в виде внутренних технических и организационных политик (стандартов) организации. Все документы среднего уровня Политики информационной безопасности конфиденциальны.
Нижний уровень составляют регламенты работ, руководства по администрированию, инструкции по эксплуатации отдельных сервисов информационной безопасности.
3. Стандартная модель безопасности
Стандартную модель безопасности часто представляют как модель из трёх категорий:
• конфиденциальность — состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право;
• целостность — избежание несанкционированной модификации информации;
• доступность — избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.
Существуют и другие, не всегда обязательные, категории модели безопасности:
• неотказуемость или апеллируемость — невозможность отказа от авторства;
• подотчётность — обеспечение идентификации субъекта доступа и регистрации его действий;
• достоверность — свойство соответствия предусмотренному поведению или результату;
• аутентичность или подлинность — свойство, гарантирующее, что субъект или ресурс идентичны заявленным.
Нарушения основных категорий информации могут быть вызваны различными опасными воздействиями на информационные компьютерные системы.
4. Основные угрозы информационной безопасности
Информационная система в настоящее время представляет собой сложную систему, состоящую из большого числа компонентов различной степени автономности, которые связаны между собой и обмениваются данными. Практически каждый компонент может подвергнуться внешнему воздействию или выйти из строя.
Любое действие, направленное на нарушение конфиденциальности, целостности и/или доступности информации, а также на нелегальное использование других ресурсов сети, называется угрозой.
Угроза, которая была реализована, называется атакой. Риск – это вероятностная оценка величины возможного ущерба, который может понести владелец информационного ресурса в результате успешно проведённой атаки. Значение риска тем выше, чем более уязвимой является существующая система безопасности и чем выше вероятность реализации атаки.
