Информационная безопасность

СОДЕРЖАНИЕ

 

Введение…………………………………………………………………….2

§ɪ  Информационная безопасность……………………………….…….3

 1.1Понятие информационной безопасности……………………….……3

1.2. Основные составляющие информационной безопасности……..…4

§ɪɪ  Проблемы информационной безопасности………………….……6

 1.1Важность и сложность проблемы информационной

   Безопасности………………………………………………………….……7

§ɪɪɪ Классификация угроз…………………………………………….……9

1.1Основные определения и критерии классификации угроз……….…...9

1.2 Наиболее распространенные угрозы доступности……………….…12

1.3Методы обеспечения информационной безопасности………………14

Заключение………………………………………………………………….18

Список литературы………………………………………………………...20

 

 

ВВЕДЕНИЕ

Говоря об информационной безопасности, в настоящее время  имеют в виду, собственно говоря, безопасность компьютерную. Действительно, информация, находящаяся на электронных  носителях играет все большую  роль в жизни современного общества. Уязвимость такой информации обусловлена  целым рядом факторов: огромные объемы, многоточечность и возможная анонимность доступа, возможность "информационных диверсий"... Все это делает задачу обеспечения защищенности информации, размещенной в компьютерной среде, гораздо более сложной проблемой, чем, скажем, сохранение тайны традиционной почтовой переписки.

Вследствие этого настоящая  работа посвящена именно проблеме обеспечения  информационной безопасности именно в  компьютерной среде. Если говорить о  безопасности информации, сохраняющейся  на "традиционных" носителях (бумага, фотоотпечатки и т.п.), то ее сохранность  достигается соблюдением мер  физической защиты (т.е. защиты от несанкционированного проникновения в зону хранения носителей). Другие аспекты защиты такой информации связаны со стихийными бедствиями и  техногенными катастрофами. Таким образом, понятие "компьютерной" информационной безопасности в целом является более  широким по сравнению с информационной безопасностью относительно "традиционных" носителей.

Если говорить о различиях  в подходах к решению проблемы информационной безопасности на различных  уровнях (государственном, региональном, уровне одной организации), то такие  различия просто не существуют. Подход к обеспечению безопасности Государственной  автоматизированной системы "Выборы" не отличается от подхода к обеспечению  безопасности локальной сети в маленькой  фирме. Поэтому принципы обеспечения  информационной безопасности в данной работе рассматриваются на примерах деятельности отдельной организации.

 

 

 

§ɪ  Информационная безопасность.

1.1 Понятия информационной  безопасности

 

Под информационной безопасностью  понимается защищенность информации и  поддерживающей ее инфраструктуры от любых случайных или злонамеренных  воздействий, результатом которых  может явиться нанесение ущерба самой информации, ее владельцам или  поддерживающей инфраструктуре. Задачи информационной безопасности сводятся к минимизации ущерба, а также  к прогнозированию и предотвращению таких воздействий. В свою очередь защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Таким образом, правильный с  методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов  информационных отношений и интересов  этих субъектов, связанных с использованием информационных систем (ИС). Угрозы информационной безопасности – это оборотная  сторона использования информационных технологий.

Из этого положения  можно вывести два важных следствия:

1) Трактовка проблем, связанных  с информационной безопасностью,  для разных категорий субъектов  может существенно различаться.  Для иллюстрации достаточно сопоставить  режимные государственные организации  и учебные институты. В первом  случае "пусть лучше все сломается,  чем враг узнает хоть один  секретный бит", во втором –  "да нет у нас никаких  секретов, лишь бы все работало".

2) Информационная безопасность  не сводится исключительно к  защите от несанкционированного  доступа к информации, это принципиально  более широкое понятие. Субъект  информационных отношений может  пострадать (понести убытки и/или  получить моральный ущерб) не  только от несанкционированного  доступа, но и от поломки  системы, вызвавшей перерыв в  работе. Более того, для многих  открытых организаций (например, учебных) собственно защита от несанкционированного доступа к информации стоит по важности отнюдь не на первом месте.

Возвращаясь к вопросам терминологии, что термин "компьютерная безопасность" представляется слишком узким. Компьютеры – только одна из составляющих информационных систем, и хотя внимание будет сосредоточено в первую очередь на информации, которая хранится, обрабатывается и передается с помощью компьютеров, ее безопасность определяется всей совокупностью составляющих и, в первую очередь, самым слабым звеном, которым в подавляющем большинстве случаев оказывается человек (записавший, например, свой пароль на "горчичнике", прилепленном к монитору).

Согласно определению  информационной безопасности, она зависит  не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно  отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал.

 

1.2. Основные составляющие информационной безопасности

 

Информационная безопасность (ИБ) – многогранная, можно даже сказать, многомерная область деятельности, в которой успех может принести только систематический, комплексный подход. Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры. Иногда в число основных составляющих ИБ включают защиту от несанкционированного копирования информации, но, на наш взгляд, это слишком специфический аспект с сомнительными шансами на успех, поэтому не станем его выделять. Поясним понятия доступности, целостности и конфиденциальности. Доступность – это возможность за приемлемое время получить требуемую информационную услугу. Под целостностью подразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения. Наконец, конфиденциальность – это защита от несанкционированного доступа к информации. Информационные системы создаются (приобретаются) для получения определенных информационных услуг. Если по тем или иным причинам предоставить эти услуги пользователям становится невозможно, это, очевидно, наносит ущерб всем субъектам информационных отношений. Поэтому, не противопоставляя доступность остальным аспектам, выделяем ее как важнейший элемент информационной безопасности. Особенно ярко ведущая роль доступности проявляется в разного рода системах управления – производством, транспортом и т.п. Внешне менее драматичные, но также весьма неприятные последствия – и материальные, и моральные – может иметь длительная недоступность информационных услуг, которыми пользуется большое количество людей (продажа железнодорожных и авиабилетов, банковские услуги и т.п.). Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций)). Средства контроля динамической целостности применяются, в частности, при анализе потока финансовых сообщений с целью выявления кражи, переупорядочения или дублирования отдельных сообщений. Целостность оказывается важнейшим аспектом ИБ в тех случаях, когда информация служит "руководством к действию". Рецептура лекарств, предписанные медицинские процедуры, набор и характеристики комплектующих изделий, ход технологического процесса – все это примеры информации, нарушение целостности которой может оказаться в буквальном смысле смертельным. Неприятно и искажение официальной информации, будь то текст закона или страница Web-сервера какой-либо правительственной организации. К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем наталкивается в России на серьезные трудности. Во-первых, сведения о технических каналах утечки информации являются закрытыми, так что большинство пользователей лишено возможности составить представление о потенциальных рисках. Во-вторых, на пути пользовательской криптографии как основного средства обеспечения конфиденциальности стоят многочисленные законодательные препоны и технические проблемы. Если вернуться к анализу интересов различных категорий субъектов информационных отношений, то почти для всех, кто реально использует ИС, на первом месте стоит доступность.

§ɪɪɪ Проблемы информационной безопасности

Сайту, порталу и виртуальному центру данных нужна надежная

система безопасности. По мере того как компания двигается в  направлении

распределенной обработки  данных и упрощения доступа к  информации,

угрозы безопасности приобретают  все более масштабный характер.

Сочетание этих факторов способствует усилению риска. Необходима

система комплексного управления безопасностью (КУБ). Нужно решить,

какая роль будет отводиться управляемым службам безопасности и как

совладать с нарастающим  потоком данных, поступающих от средств

защиты. Прибавьте сюда постоянные обновления программного

обеспечения и проблемы, связанные с беспроводными системами.

Лишь три процента веб-приложений достаточно надежны, чтобы

противостоять хакерам, 97% веб-сайтов имеют "серьезные дефекты в

защите", в результате чего данные и системы могут быть взломаны с целью

злонамеренного использования. Из 97% обнаруженных серьезных "дыр"

почти 40% приложений позволяли  взломщикам получать полный контроль

и доступ к информации. Около 23% дефектов могли привести к

нарушениям конфиденциальности, а 21% обнаруженных ошибок давали

возможность "похищать" товары из электронных магазинов. 5% дефектов

позволяли взломщикам изменять информацию, а еще 5% - перехватывать

транзакции. 2% ошибок в программном  обеспечении настолько серьезны,

что злоумышленники могут  преспокойно удалить веб-сайты.

В развитых странах предприятия  расходуют на обеспечение

информационной безопасности от 5 до 7% бюджета, отведенного на

информационные технологии. В России же компании тратят на эти  цели

куда меньше — лишь 1-2%

В России приблизительно 48% компаний используют антивирусное

программное обеспечение. Вторыми  по популярности (около 29%)

являются межсетевые экраны и средства построения виртуальных  частных

сетей (VPN). Примерно одинаковое количество финансовых средств

тратится на решения для  обнаружения атак (10%) и продукты для

идентификации, авторизации  и администрирования (11%). В Европе же

наибольшее внимание уделяется  как раз средствам идентификации,

авторизации и администрирования. Рекомендуется защищаться не от

угроз «вообще», а от риска  простоя информационной системы.

Совершенствуется не только защита, но и нападение. Атаки вирусов

становятся комплексными — они распространяются несколькими  путями и

вред наносят разнообразный: крадут почтовые адреса, блокируют  работу

некоторых программ, оставляют  лазейки для последующих нападений.

2

В 80% случаев сбои в работе ИТ-систем происходят на

программном уровне, то есть из-за программных ошибок, проникновения

в систему вирусов, повреждения  данных, случайного их удаления и т. д. В

12% случаев простои происходят  из-за отказа аппаратных компонентов

системы. Причиной еще 8% сбоев  являются различные природные

катаклизмы, террористические акты, проблемы с электропитанием.

 

1.1.Важность и сложность проблемы информационной безопасности

 

Информационная безопасность является одним из важнейших аспектов интегральной безопасности, на каком  бы уровне ни рассматривали последнюю  – национальном, отраслевом, корпоративном  или персональном.

Для иллюстрации этого  положения ограничимся несколькими  примерами.

В Доктрине информационной безопасности Российской Федерации (здесь, подчеркнем, термин "информационная безопасность" используется в широком  смысле) защита от несанкционированного доступа к информационным ресурсам, обеспечение безопасности информационных и телекоммуникационных систем выделены в качестве важных составляющих национальных интересов РФ в информационной сфере.

По распоряжению президента США Клинтона (от 15 июля 1996 года, номер 13010) была создана Комиссия по защите критически важной инфраструктуры, как  от физических нападений, так и от атак, предпринятых с помощью информационного  оружия. В начале октября 1997 года при  подготовке доклада президенту глава вышеупомянутой комиссии Роберт Марш заявил, что в настоящее время ни правительство, ни частный сектор не располагают средствами защиты от компьютерных атак, способных вывести из строя коммуникационные сети и сети энергоснабжения.

Американский ракетный крейсер "Йорктаун" был вынужден вернуться в порт из-за многочисленных проблем с программным обеспечением, функционировавшим на платформе Windows NT 4.0 (Government Computer News, июль 1998). Таким оказался побочный эффект программы ВМФ США по максимально широкому использованию коммерческого программного обеспечения с целью снижения стоимости военной техники. [5]

Заместитель начальника управления по экономическим преступлениям  Министерства внутренних дел России сообщил, что российские хакеры с 1994 по 1996 год предприняли почти 500 попыток  проникновения в компьютерную сеть Центрального банка России. В 1995 году ими было похищено 250 миллиардов рублей (ИТАР-ТАСС, AP, 17 сентября 1996 года).

В середине июля 1996 года корпорация General Motors отозвала 292860 автомобилей марки Pontiac, Oldsmobile и Buick моделей 1996 и 1997 годов, поскольку ошибка в программном обеспечении двигателя могла привести к пожару.