книги / Основы информационной безопасности

ГЛАВА 6

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ ИНФОРМАЦИОННЫХ СИСТЕМ

6.1. Общие положения

Интенсивно развивающиеся процессы переустройства нашего общественного бытия и сознания требуют высокого уровня информированности общества, его организаций и граждан во всех областях экономической, политическойисоциальнойдействительности. Такойпроцесс сегодня принято называть информатизацией.

Информатизация – организационный социально-экономический

инаучно-технический процесс создания оптимальных условий для удовлетворения информационных потребностей и реализации прав граждан, органов государственной власти, органов местного самоуправления, организаций, общественных объединений на основе формирования

ииспользования информационных ресурсов.

Информатизация базируется на национальных информационных ресурсах и обеспечивается посредством информационных систем и телекоммуникационных сетей. Появление телекоммуникационных сетей создало технические предпосылки для развития информационных систем, использующих коммуникационные ресурсы для обеспечения доступа к информационным ресурсам.

Таким образом, информационные системы и сети, средства связи, передачиинформацииителекоммуникации составляютинфраструктуру информатизации (рис. 6.1).

При любом рассмотрении вопросов управления центральное место занимает информация, или информационная потребность.

В самом общем виде при решении проблемы удовлетворения информационной потребности необходимо иметь в виду три компонента: человека (потребителя информации), который формулирует свои задачи; информационный фонд (информационный ресурс), в котором сосредоточена необходимая человеку информация, и соответствующее устройство, которое является посредником между потребителем и инфор-

231

232

Рис. 6.1. Компоненты информатизации

мационным массивом. Это устройство и называется информационной системой (рис. 6.2).

Информационная система – это организационно упорядоченная совокупность информационных ресурсов, технических средств, технологий, реализующих информационные процессы в традиционном или автоматизированном режиме для удовлетворения информационных потребностей пользователей.

Целью создания любой информационной системы является удовлетворение потребностей пользователей в своевременном получении достоверной информации и сохранении ее конфиденциальности (при необходимости).

Продуктом информационной системы является информация, свойства которой изменяются в соответствии с заданной технологией с помощью комплекса различных технических средств и людей, выполняющих определенные технологические операции. Известно, что технологические операции – это совокупность действий, направленных на изменение состояния предмета производства. В информационной системе предметом производства является информация, которая на выходе системы приводится к нужным пользователю виду и содержанию.

Вкачествеисходнойматериальнойосновыработыинформационной системы выступают информационные ресурсы. Ресурсами, как известно, называют элементы экономического потенциала, которыми располагает общество и которые при необходимости могут быть использованы для достижения конкретных целей хозяйственного и социального развития. Давно стали привычными такие категории, как материальные, финансовые, трудовые, природные, энергетические ресурсы. Эти ресурсы вовлекаютсявхозяйственныйоборот, иихназначениепонятнокаждому. В последние годы появилось и все больше осознается понятие «информационные ресурсы». Под информационными ресурсами понимаются документы и массивы документов в разных формах и видах (библиотеки, архивы, фонды, базы данных, базы знаний, а равно и другие формы организации, хранения и поиска информации), содержащие информацию по всем направлениям жизнедеятельности общества.

Функциональной основой любой информационной системы являются информационные процессы. Под информационными процессами понимается совокупность взаимосвязанных и взаимообусловленных

233

234

Рис. 6.2. Структура информационной системы

процессов выявления, анализа, ввода и отбора информации, выдачи с помощью различных средств ее потребителю для принятия управленческого решения.

Информационные ресурсы являются собственностью, находятся

ввведении соответствующих органов и организаций или физических лиц, подлежат при необходимости учету и защите.

ВДоктрине информационной безопасности РФ защита от несанкционированного доступа к информационным ресурсам, обеспечение безопасности информационных и телекоммуникационных систем выделены в качестве важных составляющих национальных интересов РФ

винформационной сфере.

С позиции обеспечения информационной безопасности источники информации и информационные системы (информационные ресурсы) целесообразно рассматривать в виде единства трех компонентов, оказывающих взаимное влияние друг на друга:

–информация;

–носители, технические и программные средства;

–обслуживающий персонал и пользователи.

Задача защиты информации должна решаться комплексно, путем защиты ее от внешних и внутренних неразрешенных (несанкционированных) воздействий, причем внешние воздействия чаще всего оказывают несанкционированное влияние на информацию путем воздействия на другие компоненты системы, а внутренние – путем воздействия со стороны технических и программных средств, а также обслуживающего персонала и пользователей.

В этом заключается основное противоречие взаимодействия этих компонентов с информацией. Причем обслуживающий персонал и пользователи могут сознательно осуществлять попытки несанкционированного воздействия на информацию. Таким образом, обеспечение безопасности информации и информационных систем должно предусматривать защиту всехкомпонентовотвнешнихивнутреннихвоздействий(угроз).

6.2. Виды и классификация угроз информационным системам

Угрозой информационной безопасности будем называть возможность реализации воздействия на информацию, обрабатываемую в информационных системах, приводящая к искажению, уничтожению, ко-

235

пированию, блокированию доступакинформации, атакже возможность воздействия на ее компоненты, приводящая к утрате, уничтожению или сбою функционирования носителя информации, средства взаимодействия с носителем или средства его управления.

Внастоящеевремярассматриваетсядостаточнообширныйперечень угроз информационной безопасности, насчитывающий сотни пунктов. Наиболее характерные и часто реализуемые из них:

–несанкционированное копирование носителей информации;

–неосторожные действия, приводящие к разглашению конфиденциальной информации или делающие ее общедоступной;

–игнорирование организационных ограничений (установленных правил) при определении ранга системы.

Специалистами в области информационной безопасности неоднократно предпринимались попытки описания различных видов угроз, их характеристик (например: с точки зрения степени опасности каждой из них) и их воздействия на информационные системы. Однако большинство таких попыток сводилось к описанию угроз на достаточно высоком уровне абстракции, так как описать угрозы на конкретном, деятельном уровне просто не представляется возможным. На стадии концептуальнойпроработкивопросовбезопасностиинформационнойсистемыпредставляется возможным рассмотрение общего состава потенциальных угроз. Конкретные перечни, связанные со спецификой информационной системы и условий, требуют определенной детализации и характерны для этапа разработки конкретного проекта системы безопасности информационной системы.

Кроме того, необходимость классификации угроз информационной безопасности обусловлена тем, что архитектура современных средств информационных систем, организационное, структурное и функциональное их построение, технологии и условия обработки информации такие, что накапливаемая, хранимая и обрабатываемая информация подвержена случайным влияниям чрезвычайно большого числа факторов, в силу чего становится невозможным формализовать задачу описания полного множества угроз. Как следствие, для защищаемой системы определяют не полный перечень угроз, а перечень классов угроз.

Кроме выявления возможных угроз должен быть проведен анализ этих угроз на основе их классификации по ряду признаков. Каждый

236

из признаков классификации отражает одно из обобщенных требований к системе защиты. При этом угрозы, соответствующие каждому признаку классификации, позволяют детализировать отражаемое этим признаком требование.

Классификация всех возможных угроз информационной безопасности информационных систем может быть проведена по ряду базовых признаков.

По природе возникновения

Естественные угрозы – угрозы, вызванные воздействиями на информационную систему и ее компоненты стихийных природных явлений, не зависящих от человека, а также объективными физическими процессами.

Искусственные угрозы – угрозы информационной безопасности, вызванные деятельностью человека.

По степени преднамеренности проявления

Угрозы случайного действия и/или угрозы, вызванные ошибками или халатностью персонала:

–проявление ошибок программно-аппаратных средств;

–некомпетентное использование, настройка или неправомерное отключение средств защиты персоналом службы безопасности;

–неумышленные действия, приводящие к частичному или полному отказу системы или разрушению аппаратных, программных, информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение файлов с важной информацией или программ);

–неправомерное включение оборудования или изменение режимов работы устройств и программ;

–неумышленная порча носителей информации;

–пересылка данных по ошибочному адресу абонента (устройства);

–ввод ошибочных данных;

–неумышленное повреждение каналов связи.

Угрозы преднамеренного действия (например, угрозы действий злоумышленника для хищения информации) по непосредственному источнику угроз.

237

Угрозы, непосредственным источником которых является природ-

ная среда (стихийные бедствия, магнитные бури, радиоактивное излучение).

Угрозы, непосредственным источником которых является человек:

–внедрение агентов в число персонала системы (в том числе, возможно, и в административную группу, отвечающую за безопасность);

–вербовка (путем подкупа, шантажа) персонала или отдельных пользователей, имеющих определенные полномочия;

–угроза несанкционированного копирования секретных данных

пользователем, разглашение, передача или утрата атрибутов разграничениядоступа(паролей, ключейшифрования, идентификационных карточек, пропусков).

Угрозы, непосредственным источником которых являются:

–санкционированные программно-аппаратные средства;

–запуск технологических программ, способных при некомпетентном использовании вызывать потерю работоспособности системы (зависания или зацикливания) или необратимые изменения в системе (форматирование или реструктуризацию носителей информации, удаление данных);

–возникновение отказа в работе операционной системы.

Угрозы, непосредственным источником которых являются несанкционированные программно-аппаратные средства:

–нелегальное внедрение и использование неучтенных программ (игровых, обучающих, технологических, не являющихся необходимыми для выполнения нарушителем своих служебных обязанностей) с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях);

–заражение компьютера вирусами с деструктивными функциями.

По положению источника угроз

Угрозы, источник которых расположен вне контролируемой зоны

территории (помещения):

–перехват побочных электромагнитных, акустических и других излучений устройств и линий связи, а также наводок активных излучений на вспомогательные технические средства, непосред-

238

ственно не участвующие в обработке информации (телефонные линии, сети питания и отопления);

–перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему;

–дистанционная фото- и видеосъемка.

Угрозы, источник которых расположен в пределах контролируемой зоны территории (помещения):

–хищение производственных отходов (распечаток, записей, списанных носителей информации);

–отключение или вывод из строя подсистем обеспечения функционирования информационно-вычислительных систем (электропитания, охлаждения и вентиляции, линий связи);

–применение подслушивающих устройств.

Угрозы, источник которых имеет доступ к периферийным устройствам систем обработки информации.

Угрозы, источник которых расположен в системах обработки информации:

–проектирование архитектуры системы и технологии обработки данных;

–разработка прикладных программ, которые представляют опасность для работоспособности системы и безопасности информации;

–некорректное использование ресурсов систем обработки информации;

–по степени зависимости от активности систем обработки информации.

Угрозы, которые могут проявляться независимо от активности систем обработки информации:

–вскрытие шифров криптозащиты информации;

–хищение носителей информации (магнитных дисков, лент, микросхем памяти, запоминающих устройств и компьютерных систем).

239

Угрозы, которые могут проявляться только в процессе автомати-

зированнойобработки данных(например, угрозывыполнения ираспространения программных вирусов).

По степени воздействия на системы обработки информации:

–пассивные угрозы, которые при реализации ничего не меняют

вструктуре и содержании систем обработки информации (например, угроза копирования секретных данных);

–активные угрозы, которые при воздействии вносят изменения

вструктуру и содержание систем обработки информации;

–внедрение аппаратных спецвложений, программных «закладок»

и«вирусов» («троянских коней» и «жучков»), то есть таких участков программ, которые не нужны для выполнения заявленных функций, но позволяют преодолеть систему защиты, скрытно

инезаконно осуществить доступ к системным ресурсам с целью регистрации и передачи критической информации или дезорганизации функционирования системы;

–действия по дезорганизации функционирования системы (изме-

нение режимов работы устройств или программ, забастовка, са-

ботаж персонала, постановка мощных активных радиопомех на частотах работы устройств системы).

Угрозы умышленной модификации информации по этапам доступа пользователей или программ к ресурсам систем обработки информа-

зы несанкционированного доступа в систему обработки информации).

Угрозы, которые могут проявляться после разрешения доступа к ресурсам системы обработки информации (например, угро-

зы несанкционированного или некорректного использования ресурсов системы).

По способу доступа к ресурсам систем обработки информации

Угрозы, направленные на использование прямого стандартного пути доступа к ресурсам систем обработки информации:

–незаконное получение паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, подбором, имитацией интерфейса системы) с последую-

240