Защита информации

Понятие ИБ

ИБ-Защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Защита информации – это  комплекс мероприятий, направленных на обеспечение информационной безопасности. 

Цель ИБ

Цель мероприятий в  области информационной безопасности – защитить интересы субъектов информационных отношений. Интересы эти многообразны, но все они концентрируются вокруг трех основных аспектов:

доступность;

целостность;

конфиденциальность 

Три кита

Доступность – это возможность  за приемлемое время получить требуемую  информационную услугу.

Целостностью - актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.

Конфиденциальность –  это защита от несанкционированного доступа к информации

"Компьютерная безопасность" (как эквивалент или заменитель  ИБ) слишком узкий подход

Компьютеры – только одна из составляющих информационных систем

Безопасность определяется всей совокупностью составляющих и, в первую очередь, самым слабым звеном, которым в подавляющем большинстве  случаев оказывается человек (записавший, например, свой пароль на "горчичнике", прилепленном к монитору). 

ИБ зависит не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно  отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал.

«Неприемлемый ущерб»

 Очевидно, застраховаться  от всех видов ущерба невозможно, тем более невозможно сделать  это экономически целесообразным  способом, когда стоимость защитных  средств и мероприятий не превышает  размер ожидаемого ущерба. Значит, с чем-то приходится мириться  и защищаться следует только  от того, с чем смириться никак  нельзя 

Угроза – это потенциальная  возможность определенным образом  нарушить информационную безопасность.

Попытка реализации угрозы называется атакой, а тот, кто предпринимает  такую попытку, – злоумышленником (malicious)

Потенциальные злоумышленники называются источниками угрозы.

Чаще всего угроза является следствием наличия уязвимых мест в  защите информационных систем (таких, например, как возможность доступа  посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).

Классификация угроз

по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;

по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);

по способу осуществления (случайные/преднамеренные действия природного/техногенного характера);

по расположению источника  угроз (внутри/вне рассматриваемой ИС).

Угрозы доступности 

Самыми частыми и самыми опасными (с точки зрения размера  ущерба) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и  других лиц, обслуживающих информационные системы.

По некоторым данным, до 65% потерь – следствие непреднамеренных ошибок.

Пожары и наводнения не приносят столько бед, сколько безграмотность и небрежность в работе.

Очевидно, самый радикальный  способ борьбы с непреднамеренными  ошибками – максимальная автоматизация  и строгий контроль

Другие угрозы доступности 

отказ пользователей;

внутренний отказ информационной системы;

отказ поддерживающей инфраструктуры.

Отказ пользователей

Нежелание работать с информационной системой (чаще всего проявляется  при необходимости осваивать  новые возможности и при расхождении  между запросами пользователей  и фактическими возможностями и  техническими характеристиками);

Невозможность работать с  системой в силу отсутствия соответствующей  подготовки (недостаток общей компьютерной грамотности, неумение интерпретировать диагностические сообщения, неумение работать с документацией и т.п.);

Невозможность работать с  системой в силу отсутствия технической  поддержки (неполнота документации, недостаток справочной информации и  т.п.).

Внутренние отказы

Отступление (случайное или  умышленное) от установленных правил эксплуатации;

Выход системы из штатного режима эксплуатации в силу случайных  или преднамеренных действий пользователей  или обслуживающего персонала (превышение расчетного числа запросов, чрезмерный объем обрабатываемой информации и  т.п.);

Ошибки при (пере)конфигурировании системы;

Отказы программного и  аппаратного обеспечения;

Разрушение данных;

Разрушение или повреждение  аппаратуры.

Отказ поддерживающей инфраструктуры

Нарушение работы (случайное  или умышленное) систем связи, электропитания, водо- и/или теплоснабжения, кондиционирования;

Разрушение или повреждение  помещений;

Невозможность или нежелание  обслуживающего персонала и/или  пользователей выполнять свои обязанности (гражданские беспорядки, аварии на транспорте, террористический акт или  его угроза, забастовка и т.п.).

"обиженные" сотрудники

Весьма опасны так называемые "обиженные" сотрудники – нынешние и бывшие. Как правило, они стремятся  нанести вред организации-"обидчику", например:

испортить оборудование;

встроить логическую бомбу, которая со временем разрушит программы  и/или данные;

удалить данные.

Необходимо следить за тем, чтобы при увольнении сотрудника его права доступа (логического  и физического) к информационным ресурсам аннулировались.

стихийные бедствия

стихийные бедствия и события, воспринимаемые как стихийные бедствия,–  грозы, пожары, наводнения, землетрясения, ураганы.

По статистике, на долю огня, воды и тому подобных "злоумышленников" (среди которых самый опасный  – перебой электропитания) приходится 13% потерь, нанесенных информационным системам

Вредоносное программное  обеспечение 

Вредоносная функция;

Способ распространения;

Внешнее представление.

Т.н. "бомбы" предназначаются  для:

внедрения другого вредоносного ПО;

получения контроля над атакуемой  системой;

агрессивного потребления  ресурсов;

изменения или разрушения программ и/или данных.

По механизму распространения  различают:

вирусы – код, обладающий способностью к распространению (возможно, с изменениями) путем внедрения  в другие программы;

"черви" – код,  способный самостоятельно, то есть  без внедрения в другие программы,  вызывать распространение своих  копий по ИС и их выполнение (для активизации вируса требуется  запуск зараженной программы).

Основные угрозы целостности 

Статическая целостность 

ввести неверные данные;

изменить данные.

Динамическая целостность

нарушение атомарности транзакций,

 переупорядочение,

кража,

дублирование данных или  внесение дополнительных сообщений (сетевых  пакетов и т.п.).

 Соответствующие действия  в сетевой среде называются  активным прослушиванием. 

Основные угрозы конфиденциальности

Служебная информация (пароли)

Предметная информация

Перехват данных - Технические  средства перехвата хорошо проработаны, доступны, просты в эксплуатации, а  установить их, например на кабельную сеть, может кто угодно, так что эту угрозу нужно принимать во внимание по отношению не только к внешним, но и к внутренним коммуникациям

Маскарад-представление  за другого

Злоупотребление полномочиями

Откуда берутся базы данных  налогоплательщиков

Первый шаг при построении системы ИБ организации – ранжирование и детализация аспектов: доступность, целостность, конфиденциальность

 Важность проблематики  ИБ объясняется двумя основными  причинами: 

ценностью накопленных информационных ресурсов;

критической зависимостью от информационных технологий.

Разрушение важной информации, кража конфиденциальных данных, перерыв  в работе вследствие отказа – все  это выливается в крупные материальные потери, наносит ущерб репутации  организации. Проблемы с системами  управления или медицинскими системами  угрожают здоровью и жизни людей.  

Подтверждением сложности  проблематики ИБ является параллельный (и довольно быстрый) рост затрат на защитные мероприятия и количества нарушений ИБ в сочетании с  ростом среднего ущерба от каждого  нарушения. (Последнее обстоятельство - еще один довод в пользу важности ИБ.)

 

Закон "Об информации, информатизации и защите информации"

предотвращение утечки, хищения, утраты, искажения, подделки информации;

предотвращение угроз  безопасности личности, общества, государства;

предотвращение несанкционированных  действий по уничтожению, модификации, искажению, копированию, блокированию информации;

предотвращение других форм незаконного вмешательства в  информационные ресурсы и информационные системы, обеспечение правового режима документированной информации как объекта собственности;

защита конституционных  прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;

сохранение государственной  тайны, конфиденциальности документированной  информации в соответствии с законодательством;

обеспечение прав субъектов  в информационных процессах и  при разработке, производстве и применении информационных систем, технологий и  средств их обеспечения.

 

Защита данных пользователя;

защита функций безопасности (требования относятся к целостности  и контролю данных сервисов безопасности и реализующих их механизмов);

управление безопасностью (требования этого класса относятся  к управлению атрибутами и параметрами  безопасности);

аудит безопасности (выявление, регистрация, хранение, анализ данных, затрагивающих безопасность объекта  оценки, реагирование на возможное  нарушение безопасности);

доступ к объекту оценки;

приватность (защита пользователя от раскрытия и несанкционированного использования его идентификационных  данных);

использование ресурсов (требования к доступности информации);

криптографическая поддержка (управление ключами);

связь (аутентификация сторон, участвующих в обмене данными);

доверенный маршрут/канал (для связи с сервисами безопасности).

 

 

 

Административный уровень

Главная задача мер административного  уровня – сформировать программу  работ в области информационной безопасности и обеспечить ее выполнение, выделяя необходимые ресурсы  и контролируя состояние дел.

Основой программы является политика безопасности, отражающая подход организации к защите своих информационных активов.

Разработка политики и  программы безопасности начинается с анализа рисков, первым этапом которого, в свою очередь, является ознакомление с наиболее распространенными  угрозами

Главные угрозы – внутренняя сложность ИС, непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и  других лиц, обслуживающих информационные системы.

На втором месте по размеру  ущерба стоят кражи и подлоги.

Реальную опасность представляют пожары и другие аварии поддерживающей инфраструктуры.

Необходимым условием для  построения надежной, экономичной защиты является рассмотрение жизненного цикла  ИС и синхронизация с ним мер  безопасности. Этапы жизненного цикла:

инициация;

закупка;

установка;

эксплуатация;

выведение из эксплуатации.

Безопасность невозможно добавить к системе; ее нужно закладывать  с самого начала и поддерживать до конца.

Процедурный уровень

управление персоналом;

физическая защита;

поддержание работоспособности;

реагирование на нарушения  режима безопасности;

планирование восстановительных  работ.

Принципы безопасности

непрерывность защиты в пространстве и времени;

разделение обязанностей;

минимизация привилегий.

Текущие работы

Необходимо регулярно  осуществлять:

поддержку пользователей;

поддержку программного обеспечения;

конфигурационное управление;

резервное копирование;

управление носителями;

документирование;

регламентные работы.

Программно-технические  меры

Программно-технические  меры, то есть меры, направленные на контроль компьютерных сущностей – оборудования, программ и/или данных, образуют последний  и самый важный рубеж информационной безопасности.

Меры безопасности

превентивные, препятствующие нарушениям ИБ;

меры обнаружения нарушений;

локализующие, сужающие зону воздействия нарушений;

меры по выявлению нарушителя;

меры восстановления режима безопасности.

Сервисы безопасности

идентификация и аутентификация;

управление доступом;

протоколирование и аудит;

шифрование;

контроль целостности;

экранирование;

анализ защищенности;

обеспечение отказоустойчивости;

обеспечение безопасного  восстановления;

туннелирование;

управление.

В информатике в наибольшей степени рассматриваются основные виды защиты информации при работе на компьютере и в телекоммуникационных сетях.

Компьютеры — это технические  устройства для быстрой и точной (безошибочной) обработки больших  объёмов информации самого разного  вида. Но, несмотря на постоянной повышение  надёжности их работы, они могут  выходить из строя, ломаться, как и  любые другие устройства, созданные  человеком. Программное обеспечение  также создается людьми, способными ошибаться.