Понятие информационной безопасности и защиты информации

o      Прекращение функционирования системы вследствие поломки оборудования (компьютеров, коммуникационного оборудования и т.д.)

Например, если в железнодорожной кассе  сломается компьютер, подключений  к системе автоматизированной продажи  билетов, то пассажиры не смогут купить билеты (получить информационную услугу по оформлению билетов) в данной кассе.

o      Неправильное функционирование системы в результате ошибок в программном обеспечении либо несоответствия между реальной работой и документацией на систему.

Например, если пользователь осуществляет поиск в какой-то информационной системе, то в справочной информации может быть написано, что для поиска слова достаточно только ввести его начало, и будет найдены все слова, начинающиеся с заданной комбинации символов. Пользователь вводит символы «информ» в надежде, что будут найдены все слова «информатика», «информация», «информационные технологии» и так далее. Однако оказывается, что на самом деле программа работает не совсем так, как написано в справочной информации, и ищет именно то слово, которое задано. А чтобы найти слова, начинающие с заданной комбинации символов, надо в конце поставить «*». Т.е. для поиска слов «информация» и подобных надо было ввести символы «информ *». Но ведь пользователь не мог знать об этом, и в результате он не получает желаемой информационной услуги, а информация, хранящиеся в системе, оказывается для него недоступной.

o      Ошибки персонала системы, которые могут быть вызваны как отсутствием необходимых навыков работы с конкретной системой, так и общим недостатком образования или квалификации.

Например, соискатель обращается в службу  занятости с просьбой найти работу уборщицы с 17 до 19 часов. Сотрудница службы занятости не знает, что имеющиеся  информационная система позволяет  осуществлять поиск по параметрам рабочего времени (потому что для такого поиска надо перейти на дополнительную вкладку и нажать специальную кнопку, а сотруднице об этой никто не рассказывал), и предлагает клиенту просмотреть все имеющиеся вакансии уборщиц. В результате клиент не получает информационную услугу должного качества.   В другом случае соискатель обращается к сотруднице службы занятости с просьбой найти вакансии программиста, и получает ответ, что таких вакансий не имеется. Однако на самом деле такие вакансии есть, просто сотрудница из-за своей безграмотности ввела в окне поиска вакансию «програмист». В результате клиент получил ложную информацию.

o      Целенаправленные атаки с целью вызвать отказ в обслуживании (DOS – атаки). При таких атаках в систему электронной обработки данных одновременно направляется множество запросов на обслуживание, в результате чего система оказывается перегруженной и не может нормально функционировать. Такие атаки характерны для служб Интернета, когда злоумышленники пытаются нарушить функционирование отдельных серверов или сети в целом. Целью таких атак может являться:

-         причинение ущерба какой-либо фирме путем временного нарушения ее функционирования. Например, если будет нарушено функционирование сервера туристической фирмы, то люди не смогут узнать в это время об услугах этой фирмы и заказать путевки, и фирма потеряет клиентов

-         нарушение нормального функционирования системы защиты с целью попытки получить доступ к конфиденциальной информации

-         попытка проанализировать систему защиты и найти в ней уязвимые места в процессе мер по восстановлению работоспособности системы и отражения атаки.

·        Угрозы конфиденциальности связаны со следующими возможностями:

o      Потеря технических средств идентификации (ключей, чипов)

o      Прочтение информации с экрана монитора либо в процессе набора на клавиатуре посторонним человеком

o      Небрежность пользователей, записывающих пароли и оставляющих эти записи в доступных местах

o      Небрежное хранение копий и черновиков конфиденциальных документов, а также использованных при их печати копировальной и обычной бумаги

o      Оставление без присмотра рабочих мест, с которых осуществлен доступ к конфиденциальной информации

o      Использование «неправильных», то есть легко подбираемых паролей

o      Использование специальных технических и программных средств для взлома системной защиты

·        Угрозы нарушения авторских и иных прав  связаны с доступностью информации, являющейся объектом авторского права, а также возможностью «взлома» программ с целью их нелегального использования.

Поскольку все аспекты информационной безопасности тесно связанны между собой, то и  конкретная угроза оказывается направленной сразу против нескольких аспектов безопасности.

Например, при отключении электричества не только нарушается доступность информации в течение того времени, пока система  не работает, но и может произойти  разрушение или нарушение целостности  информации вследствие прекращения  работы системы в момент выполнения какой-либо критической операции.

Классификация по компонентам системы, на которую  нацелена угроза (атака)

·        угроза данным может быть связана с возможностью хищения или порчей носителей данных, несанкционированного удаления или изменения данных, а также с возможностью того, что данные станут доступны лицам, которым они не должны быть доступны

·        угроза программам может быть связана с внедрением вредоносного программного обеспечения, в первую очередь компьютерных вирусов

·        угроза техническим средствам может быть связаны с возможностью выхода из строя техники в связи со случайными или преднамеренными воздействиями естественного или искусственного характера

·        угроза персоналу может быть связанна с возможностью создания условий, вынуждающих отдельных сотрудников выполнять действия, связанные с нарушением защиты информации (шантаж, подкуп и так далее)

Классификация по способу осуществления

По  способу осуществления угроза может  быть случайной или преднамеренной.

Например, человек может случайно стереть  файл из-за своей невнимательности, а может сделать это преднамеренно, чтобы кому-то навредить

Классификация по виду воздействия

По  виду воздействия угрозы могут быть естественного (природного) или искусственного (технологичного) характера.

Например, затопление помещения, в результате которого испортились компакт-диски  и пропала записанная на них информация, может быть вызвано как наводнением (природный  фактор), так и прорывом труб водоснабжения (техногенный фактор)

Классификация по средствам реализации

По  средствам реализации угрозы могут  быть классифицированы следующим образом:

·        нарушение зашиты информации посредством действий персонала:

o      хищение носителей информации (распечаток, дисков)

o      преднамеренная порча носителей информации и технических средств

o      чтение информации с экрана монитора, распечаток

o      получение конфиденциальной информации во время беседы или путем подслушивания

o      получение несанкционированного доступа к информации с оставленного без присмотра рабочего места, на котором ранее был произведен доступ к конфиденциальной информации

·        нарушение защиты информации посредством аппаратного обеспечения включает в себя:

o      несанкционированное подключение к компьютерам, коммуникационному оборудованию или линиями связи специально разработанных аппаратных средств, предназначенных для перехвата или искажения информации

o      использование специальных технических средств прослушивания, видео наблюдения и электромагнитных излучений с целью перехвата информации

·        нарушение защиты информации посредством программного обеспечения включает в себя

o      использование специальных программ криптоанализа для расшифровки зашифрованной информации

o      использование программ взлома  и перехвата паролей

o      использование вредоносного программного обеспечения (вирусов, «Троянов», программ-шпионов)

o      использование программного обеспечения для организации DOS- aтак

Классификация по расположению источника угрозы

По  расположению источника угрозы могут быть:

·        внутренними, когда источник реализации угрозы находится внутри системы обработки данных.

Например, люди, занимающиеся обслуживанием системы  электронных платежей, могут попытаться изменить программу таким образом, чтобы при каждой операции часть денег (например, 1 цент) переводилась на личный счет

·        внешними, когда в перехвате или искажении информации заинтересованы внешние силы. Это характерно, например, для военных секретов. При этом лица, заинтересованные в получении или искажении конфиденциальной информации, могут попытаться привлечь на свою сторону сотрудников, непосредственно работающих с системой, но при этом важно, что инициатива в нарушении защиты информации исходит извне.

Классификация по виду нарушения защиты информации

По  виду нарушения защиты информации выделяются следующие угрозы

·        раскрытие информации, когда информация становится известной тому лицу, которому она не должна быть известна. (Часто используется термин ”перехват”, особенно применительно к каналам связи. Разница между этими терминами заключается в том, что перехват зашифрованной информации не всегда ведет к ее раскрытию, так как информацию еще надо расшифровать)

·        модификация информации, то есть изменение данных таким образом, чтобы обрабатывающая их программа продолжала нормально функционировать.

Примером  модификации информации может служить  перевод несуществующих денег на свой банковский счет, либо удаление сведений о наложениях взысканиях в своем  личном деле

·        разрушение информации — изменение данных таким образом, что обрабатывающая их программа перестает работать.

Например, изменение формата файла базы данных приводят к тому, что эти  данные перестают правильно обрабатываться. К разрушению относится также  уничтожение информации

·        ренегатство — отказ от сделанных изменений информации или других выполненных действий.

Например, человек может отправить электронное  письмо с предложением совершить  какую-то сделку, а затем сказать, что он такого письма не отправлял

·        нарушение работы системы обработки данных, например, путем отключения системы энергоснабжения либо порчи оборудования системы

При разработке системы защиты информации необходимо тщательно проанализировать возможные угрозы и в зависимости  от них выбрать те или иные средства защиты

ЛИТЕРАТУРА

1.      Конституция Российской Федерации

2.      Закон РФ «Об информации, информатизации и защите информации»

3.      Н.М.Хохлова. Информационные технологии (конспект лекций) – М.: Приор-издат, 2007 – стр.51-54, 83-94, 110-143

4.      Мамаев м., Петренко С. Технологии защиты информации в Интернете. Спец.справочник. – СПб, Питер, 2002 – стр.640-652

5.      Романец Ю.В., Тимофеев П.А., Шаньгин В.Ф. защита информации в компьютерных системах и сетях . под ред. Шаньгина В.Ф. – М.:, Радио и связь, 2001 – стр.260-274, 65078, 98-115

 

 

КОНТРОЛЬНЫЕ ВОПРОСЫ. 

 

1)      Сформулируйте определение информационной безопасности.

2)      Сформулируйте понятие защиты информации.

3)      Сформулируйте понятие системы электронной обработки данных.

4)      Перечислите аспекты информационной безопасности.

5)      Сформулируйте понятие целостности информации.

6)      Сформулируйте понятие доступности информации.

7)      Сформулируйте определение конфиденциальной информации.

8)      Сформулируйте понятие информационной угрозы и информационной атаки.

9)      Перечислите источники уязвимых мест в системе электронной обработки данных.

10)  Сформулируйте понятие «окна опасности».

11)  Перечислите способы классификации информационных угроз.

12)  Приведите примеры угроз целостности информации.

13)  Приведите примеры угроз доступности информации.

14)  Сформулируйте понятие DOS-атаки и перечислите цели таких атак.

15)  Приведите примеры нарушения конфиденциальности информации.

16)  Приведите примеры нелегального использования программ и нарушения авторских прав.

17)  Перечислите компоненты системы, на которые может быть направлена информационная атака.

1)      Приведите примеры случайных и преднамеренных нарушений информационной безопасности.

2)      Приведите примеры нарушений информационной безопасности природного и технического характера.

3)      Проведите классификацию угроз по средствам их реализации.

4)      Приведите примеры внутренних и внешних угроз.

5)      Дайте определение раскрытия информации и приведите соответствующие примеры

6)      Дайте определение модификации информации и приведите соответствующие примеры

7)      Дайте определение разрушения информации и приведите соответствующие примеры

8)      Дайте определение ренегатства и приведите соответствующие примеры

 

 

ЯВЛЯЮТСЯ  ЛИ ВЕРНЫМИ СЛЕДУЮЩИЕ УТВЕРЖДЕНИЯ:  

 

  Информационная безопасность означает  защиту информации от несанкционированного  доступа;

  К обеспечивающей инфраструктуре  системы электронной обработки  данных относятся, среди прочего, системы водо – и энергоснабжения;

  Защита информации – это комплекс  мероприятий, направленных на  обеспечение информационной безопасности;

  Система электронной обработки  данных – это персональный  компьютер;

  Обеспечение целостности информации  подразумевает, что доступ к ней может иметь только определённый круг лиц, обладающих определёнными правами;

  Доступность информации подразумевает,  что пользователь за приемлемое  время имеет возможность получить  требуемую информационную услугу;

  Конфиденциальная информация – это информация, к которой имеют доступ ограниченный круг лиц;