Лекции готовые в Moodle. Информационные процессы в экономике. Основные тенденции развития информатизации в экономике
 Скачать 3.34 Mb.
|
|
ГЛАВА 12. ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ ЭКОНОМИЧЕСКИХ СИСТЕМ. Информационные угрозы и их виды. Принципы построения системы информационной безопасности. Защита информации отдельных экономических систем. Безопасность АИС в банках. Безопасность информации в электронной коммерции. Информационные угрозы и их виды. В современном мире информация становится стратегическим ресурсом, одним из основных экономически развитого государства. Быстрое совершенствование информатизации в России проникновение ее во все сферы жизненно важных интересов личности, общества и государства вызвали помимо несомненных преимуществ и появление ряда существенных проблем. Одна из них - необходимость защиты информации. Учитывая, что в настоящее время экономический потенциал все в большей степени определяется уровнем развития информационной структуры пропорционально растет потенциальная уязвимость экономики от информационных воздействий. Каждый сбой работы компьютерной сети — это не только «моральный» ущерб для работников предприятия и сетевых администраторов. По мере развития технологий электронных платежей «безбумажного» документооборота и других, серьезный сбой локальных сетей может просто парализовать работу целых корпораций и банков, что приводит к ощутимым материальным последствиям. Не случайно, что защита данных в компьютерных сетях становится одной из самых острых проблем на сегодняшний день. Под угрозой безопасности информации понимаются события или действия, которые могу привести к искажению, несанкционированному использованию или даже к разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств. Человека, пытающегося нарушить работу информационной системы или получить несанкционированный доступ к информации, обычно называют «компьютерным пиратом» (хакером). В своих противоправных действиях, направленных на овладение чужими секретами, взломщики стремятся найти такие источники конфиденциальной информации, которые бы давали им достоверную информацию в максимальных объемах с минимальными затратами на ее получение с помощью различного вида уловок и множества приемов и средств подбираются пути и подходы к таким источникам. В данном случае под источником информации понимается материальный объект, обладающий определенными сведениями, представляющими конкретный интерес для злоумышленников или конкурентов. Если ценность информации теряется при ее хранении и/или распространении, то реализуется угроза нарушения конфиденциальности информации. Если информация изменяется или уничтожается с потерей ее ценности, то реализуется угроза целостности информации. Если информация вовремя не поступает легальному пользователю, то ценность ее уменьшается, со временем полностью обесценивается, тем самым реализуется угроза оперативности или доступности информации. Злоумышленник может ознакомиться с конфиденциальной информацией, модифицировать или даже ее уничтожить, а также ограничить или блокировать доступ легального пользователя к информации. Злоумышленником может быть, как сотрудник организации, так и постороннее лицо. Но, кроме этого, ценность информации может уменьшиться ввиду случайных, неумышленных ошибок персонала, а также природных катаклизмов. Информационные угрозы могут быть обусловлены (рис. 12.1): естественными факторами (стихийные бедствия - пожар, наводнение, ураган, молния и другие причины); человеческим фактором. Последние в свою очередь подразделяются на: случайные, неумышленные. Это угрозы, связанные с ошибками процесса подготовки, обработки и передачи информации (научно-техническая, коммерческая, валютно-финансовая документация); с нецеленаправленной «утечкой умов». знаний, информации (например, в связи с миграцией населения, выездом в другие страны, для воссоединения с семьей и т.п.). Это угрозы, связанные с ошибками процесса проектирования, разработки и изготовления систем и их компонент (здания, сооружения, помещения, компьютеры, средства связи, операционные системы, прикладные программы и др.), с ошибками в работе аппаратуры из-за некачественного ее изготовления; с ошибками процесса подготовки и обработки информации (ошибки программистов и пользователей из- за недостаточной квалификации и некачественного обслуживания, ошибки пользователей при подготовке, вводе и выводе данных, корректировке и обработке информации); угрозы, обусловленные умышленными, преднамеренными действиями злоумышленников. Это угрозы, связанные с передачей, искажением и уничтожением научных открытий, изобретений, секретов производства, новых технологий по корыстным и другим антиобщественным мотивам (документационные чертежи, описания открытий и изобретений и другие материалы); подслушиванием и передачей служебных и других научно-технических и коммерческих разговоров; с целенаправленной «утечкой умов» (например, в связи с получением другого гражданства по корыстным мотивам). Это угрозы, связанные с несанкционированным доступом к ресурсам автоматизированной информационной системы (внесение технических изменений в средства компьютерной техники, средства связи, подключение к средствам вычислительной техники и каналам связи, хищение носителей информации; описаний, распечаток и др.).
Рис. 12.1. Классификация угроз информационной безопасности в зависимости от их источника. Умышленные угрозы преследуют цель нанесения ущерба пользователям АИС и, в свою очередь, подразделяются на активные и пассивные. Пассивные угрозы, как правило, направлены на несанкционированное использование информационных ресурсов, не оказывая при этом влияния на их функционирование. Пассивной угрозой является,-например, попытка получения информации, циркулирующей в каналах связи, посредством их прослушивания. Активные угрозы имеют целью нарушение нормального процесса функционирования системы посредством целенаправленного воздействия на аппаратные, программные и информационные ресурсы. К активным угрозам относятся, например, разрушение или радиоэлектронное подавление линий связи, вывод из строя ПЭВМ или ее операционной системы, искажение сведений в базах данных либо в системной информации и т.д. Источниками активных угроз могут быть непосредственные действия злоумышленников, программные вирусы и т.п. Умышленные угрозы подразделяются на внутренние, возникающие внутри управляемой организации, и внешние. Внутренние угрозы чаще всего определяются социальной напряженностью и тяжелым моральный климатом. Внешние угрозы могут определяться злонамеренными действиями конкурентов, экономическими условиями и другими причинами (например, стихийными бедствиями). По данным зарубежных источников, получил широкое распространение промышленный шпионаж- наносящие ущерб владельцу коммерческой тайны незаконный сбор, присвоение и передача сведений, составляющих коммерческую тайну, лицом, не уполномоченным на это ее владельцем. К основным угрозам безопасности относят: раскрытие конфиденциальной информации; компрометация или подмена информации; несанкционированное использование информационных ресурсов; ошибочное использование ресурсов; несанкционированный обмен информацией; отказ от информации; отказ от обслуживания. Средствами реализации угрозы раскрытия конфиденциальной информации могут быть несанкционированный доступ к базам данных, прослушивание каналов и т.н. В любом случае получение информации, являющейся достоянием некоторого лица (группы лиц), приводит к уменьшению и даже потере ценности информации. Любой работающий человек сегодня активно пользуется корпоративной или личной электронной почтой. Это самый быстрый и легкий способ передачи информации, делового общения и своевременного предоставления документов. Однако если в компании сотрудники имеют доступ к Интернет и возможность обмениваться электронными сообщениями, то защита электронной почты должна быть организована самым серьезным образом. Корпоративная сеть, где данному вопросу уделяется недостаточно внимания, подвержена многочисленным угрозам. Самой серьезной из них является утечка коммерческой информации. Ценность конфиденциальной информации в бизнес среде не подлежит сомнению. Она является «лакомым куском» для конкурентов и злоумышленников. При этом мало кто задумывается, что электронные сообщения пересылаются незашифрованными и могут быть перехвачены или подделаны. Для этого необходимо лишь иметь возможность «слушать» трафик, находясь либо в вашем офисе, либо в сети провайдера. Поэтому защита электронной почты, прежде всего, должна быть направлена на снижение доступности информации для посторонних лиц. Существуют разные способы решения этой задачи. Например, защита электронной почты может быть обеспечена электронной подписью (ЭП) или шифрованием сообщений с использованием личных и открытых ключей. Конкретное решение задачи защиты сообщений при передаче зависит от специфики передаваемой информации и ряда других факторов. Следующая угроза, на устранение которой направлена защита электронной почты, - внешние атаки. Самая «безобидная» из них - это целевой и нецелевой спам, по статистике на спам-рассылки приходится более 80% всей корреспонденции, передаваемой через всемирную «паутину». Такие сообщения не только серьезно загружают информационные системы, но и ежедневно отвлекают сотрудников от выполнения служебных обязанностей. В целях снижения потока спама защита электронной почты использует специальные программные фильтры и антиспам-системы. Более серьезной угрозой являются троянские и вредоносные программы, а также фишинговые ссылки, которые в огромных количествах рассылаются в электронных сообщениях. Вредоносное сообщение может нанести непоправимый ущерб серверам, рабочим станциям и находящейся в них информации - исказить или уточнить данные, блокировать работу приложений и операционной системы в целом. Переход по фишинговым ссылкам на хакерские сайты грозит тем, что на компьютеры пользователей будут незаметно установлены программы, позволяющие получить злоумышленникам доступ к ценной персональной информации, логинам и паролям от корпоративных ресурсов для устранения таких угроз защита электронной почты использует надежные антивирусные программы, позволяющие сканировать почтовые сообщения, а также оповещать о наличии фишинговых ссылок в полученном письме. Кроме того, на корпоративный почтовый сервер могут быть организованы внешние атаки, последствием которых станет отказ почтовой службы. Реализация угроз является следствием одного из следующих действий и событий; разглашения конфиденциальной информации, утечки конфиденциальной информации и несанкционированного доступа к защищаемой информации. При разглашении или утечке происходит нарушение конфиденциальности информации с ограниченным доступом (рис. 12.2).  Рис. 12.2. Действия, нарушающие информационную безопасность. Утечка конфиденциальной информации - это бесконтрольный выход конфиденциальной информации за пределы информационной системы или круга лиц, которыми она была доверена по службе или стала известна в процессе работы. Эта утечка может быть следствием: разглашение конфиденциальной информации; ухода информации по различным, главным образом техническим, каналам; несанкционированного доступа к конфиденциальной информации различными способами. Разглашение информации ее владельцем и обладателем есть умышленные или неосторожные действия должностных лиц и пользователей, которым соответствующие сведения в установленном порядке были доверены по службе или по работе, приведшие к ознакомлению с ними лиц, не допущенных к этим сведениям. Возможен бесконтрольный уход конфиденциальной информации по визуально оптическим, акустическим, электромагнитным и другим каналам. По физической природе возможны следующие средства переноса информации: Световые лучи. Звуковые волны, Электромагнитные волны. Материалы и вещества. Под каналом утечки информации будем понимать физический путь от источника конфиденциальной информации к злоумышленнику, по которому возможна утечка или несанкционированное получение охраняемых сведений. Для возникновения (образования, установления) канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также соответствующие средства восприятия и фиксации информации на стороне злоумышленника. Применительно к практике с учетом физической природы образования каналы утечки информации можно разделить на следующие группы: визуально-оптические, акустические (включая и акустико-преобразовательные); электромагнитные (включая магнитные и электрические); материально-вещественные (бумага, фото, магнитные носители, производственные отходы различного вида - твердые, жидкие, газообразные). К факторам утечки могут, например, относиться: недостаточное знание работниками предприятия правил защиты информации и непонимание (или недопонимание) необходимости их тщательного соблюдения; использование неаттестованных технических средств обработки конфиденциальной информации; слабый контроль за соблюдением правил защиты информации правовыми, организационными и инженерно-техническими мерами. Основными типовыми путями несанкционированного доступа к информации, являются: перехват электронных излучений; применение подслушивающих устройств (закладок); дистанционное фотографирование; перехват акустических излучений и восстановление текста принтера; хищение носителей информации и документальных отходов; чтение остаточной информации в памяти системы после выполнения санкционированных запросов; копирование носителей информации с преодолением мер защиты, маскировка под зарегистрированного пользователя; мистификация (маскировка под запросы системы); использование программных ловушек; использование недостатков языков программирования и операционных систем и/или включение в библиотеки программ специальных блоков типа «Троянский конь»; незаконное подключение к аппаратуре и линиям связи; злоумышленный вывод из строя механизмов защиты; внедрение и использование компьютерных вирусов. Необходимо отметить, что особую опасность в настоящее время представляет проблема компьютерных вирусов. Остальные пути несанкционированного доступа поддаются надежной блокировке при правильно разработанной и реализуемой на практике системе обеспечения безопасности Ниже перечисляются наиболее распространенные технические угрозы и причины, в результате которых они реализуются: несанкционированный доступ к информационной системе - в результате получения нелегальный пользователем доступа к информационной системе; раскрытие данных - в результате получения доступа к информации или ее чтения человеком и возможного раскрытия им информации случайным или намеренным образом; несанкционированная модификация данных и программ -возможна в результате модификации, удаления или разрушения человеком данных и программного обеспечения локальных вычислительных сетей случайным или намеренным образом; раскрытие трафика локальных вычислительных сетей - в результате доступа к информации или ее чтения человеком и возможного ее разглашения случайным или намеренным образом тогда, когда информация передается через локальные вычислительные сети; подмена трафика локальных вычислительных сетей - его использование легальным способом, когда появляются сообщения, имеющие вид посланных законным заявленным отправителем, а на самом деле это не так; неработоспособность локальных вычислительных сетей - следствие осуществления угроз, которые не позволяют ресурсам локальных вычислительных сетей быть своевременно доступными. Способы воздействия угроз на информационные объекты подразделяются на: -информационные; программно-математические; физические; радиоэлектронные; организационно-правовые. К информационным способам относятся: нарушение адресности и своевременности информационного обмена, противозаконный сбор и использование информации; несанкционированный доступ к информационным ресурсам; манипулирование информацией (дезинформация, сокрытие или сжатие информации); нарушение технологии обработки информации. Программно-математические способы включают: внедрение компьютерных вирусов; установку программных и аппаратных закладных устройств; уничтожение или модификацию данных в автоматизированных информационных системах. Физические способы включают: уничтожение или разрушение средств обработки информации и связи; уничтожение, разрушение или хищение машинных, или других носителей информации; хищение программных или аппаратных ключей и средств криптографической зашиты информации; воздействие на персонал; перехват, дешифровку и навязывание ложной информации в сетях передачи данных и линиях связи; воздействие на парольно-ключевые системы. Радиоэлектронными способами являются: перехват информации в технических каналах ее возможной утечки; внедрение электронных устройств перехвата информации в технические средства и помещения; перехват, дешифровку и навязывание ложной информации в сетях передачи данных и линиях связи; воздействие на парольно-ключевые системы; радиоэлектронное подавление линий связи и систем управления. Организационно-правовые способы включают: невыполнение требований законодательства о задержке в принятии необходимых нормативно-правовых положений в информационной сфере; неправомерное ограничение доступа к документам, содержащим важную для граждан и организаций информацию. Суть подобных угроз сводится к нанесению того или иного ущерба предприятию. Проявления возможного ущерба могут быть самыми различными: моральный и материальный ущерб деловой репутации организации; моральный, физический или материальный ущерб, связанный с разглашением персональных данных отдельных лиц; материальный (финансовый) ущерб от разглашения защищаемой (конфиденциальной) информации; материальный (финансовый) ущерб от необходимости восстановления нарушенных защищаемых информационных ресурсов; материальный ущерб (потери) от невозможности выполнения взятых на себя обязательств перед третьей стороной; моральный и материальный ущерб от дезорганизации в работе всего предприятия. Непосредственный вред от реализованной угрозы, называется воздействием угрозы. Угрозы безопасности можно классифицировать по следующим признакам: По цели реализации угрозы. Реализация той или иной угрозы безопасности может преследовать следующие цели: нарушение конфиденциальной информации; нарушение целостности информации; нарушение (частичное или полное) работоспособности. По принципу воздействия на объект: с использованием доступа субъекта системы (пользователя, процесса) к объекту (файлам данных, каналу связи и т.д.); с использованием скрытых каналов. Под скрытым каналом понимается путь передачи информации, позволяющий двум взаимодействующим процессам обмениваться информацией таким способом, который нарушает системную политику безопасности. По характеру воздействия на объект. По этому критерию различают активное и пассивное воздействие. Активное воздействие всегда связано с выполнением пользователем каких-либо действий, выходящих за рамки его обязанностей и нарушающих существующую политику безопасности. Это может быть доступ к определенным наборам данных, программам, вскрытие пароля и т.д. Активное воздействие ведет к изменению состояния системы и может осуществляться либо с использованием доступа (например, к наборам данных), либо как с использованием доступа, так и с использованием скрытых каналов. Пассивное воздействие осуществляется путем наблюдения пользователем каких-либо побочных эффектов (от работы программы, например) и их анализе. На основе такого рода анализа можно иногда получить довольно интересную информацию. Примером пассивного воздействия может служить прослушивание линии связи между двумя узлами сети. Пассивное воздействие всегда связано только с нарушением конфиденциальности информации, так как при нем никаких действий с объектами и субъектами не производится. Пассивное воздействие не ведет к изменению состояния системы. По причине появления используемой ошибки защиты. Реализация любой угрозы возможна только в том случае, если в данной конкретной системе есть какая-либо ошибка или брешь защиты. Такая ошибка может быть обусловлена одной из следующих причин: неадекватностью политики безопасности реальной системе. Это означает, что разработанная политика безопасности настолько не отражает реальные аспекты обработки информации, что становится возможным использование этого несоответствия для выполнения несанкционированных действий; ошибками административного управления, под которыми понимается некорректная реализация или поддержка принятой политики безопасности в данной организации. Например, согласно политике безопасности, должен быть запрещен доступ пользователей к определенному набору данных, а на самом деле (по невнимательности администратора безопасности) этот набор данных доступен всем пользователям; ошибками в алгоритмах программ, в связях между ними и т.д. которые возникают на этапе проектирования программы или комплекса программ и благодаря которым их можно использовать совсем не так, как описано в документации. Примером такой ошибки может служить ошибка в программе аутентификации пользователя, когда при помощи определенных действий пользователь имеет возможность войти в систему без пароля; ошибками реализации алгоритмов программ (ошибки кодирования), связей между ними и т.д., которые возникают на этане реализации или отладки и которые также могут служить источником недокументированных свойств. По способу воздействия на объект атаки (при активном воздействии): непосредственное воздействие на объект атаки (в том числе с использованием привилегий), например, непосредственный доступ к набору данных, программе, службе, каналу связи и т.д., воспользовавшись какой-либо ошибкой. Такие действия обычно легко предотвратить с помощью средств контроля доступа; воздействие на систему разрешений (в том числе захват привилегий). Этим способом несанкционированные действия выполняются относительно нрав пользователей на объект атаки, а сам доступ к объекту осуществляется йотом закоптим образом. Примером может служить захват привилегий, что позволяет затем беспрепятственно получить доступ к любому набору данных и программе, в частности «маскарад», при котором пользователь присваивает себе каким-либо образом полномочия другого пользователя, выдавая себя за него. По объекту атаки. Одной из самых главных составляющих нарушения функционирования АИС является объект атаки, т.е. компонент системы, который подвергается воздействию со стороны злоумышленника. Определение объекта атаки позволяет принять меры по ликвидации последствий нарушения, восстановлению этого компонента, установке контроля по предупреждению повторных нарушений и т.д. По используемым средствам атаки. Для воздействия на систему злоумышленник может использовать стандартное программное обеспечение или специально разработанные программы. В первом случае результаты воздействия обычно предсказуемы, так как большинство стандартных программ системы хорошо изучены. Использование специально разработанных программ связано с большими трудностями, но может быть более опасным, поэтому в защищенных системах рекомендуется не допускать добавления программ в АИС без разрешения администратора безопасности системы. По состоянию объекта атаки. Состояние объекта в момент атаки может оказать существенное влияние на результаты атаки и на работу по ликвидации се последствий. Объект атаки может находиться в одном из трех состояний: хранение; передача; обработка. Подобная классификация показывает сложность определения возможных угроз и способов их реализации. Это еще раз подтверждает то, что определить все множество угроз для АИС и способов их реализации не представляется возможным. К тому же, кризисные ситуации проводят к снижению вложений в информационную безопасность, чем не могут не воспользоваться различные кибермошенники. Компьютерные злоумышленники сегодня совсем не похожи на специалистов, получивших первоначальные знания с хакерских web-сайтов, а представляют собой злоумышленников с достаточно высокой подготовкой не только в области информационных технологий, но и в финансовых вопросах. Причем большинство из них действуют, как правило, в составе организованных преступных групп [122]. Сегодня доходы от компьютерных преступлений значительно превышают доходы, получаемые от продажи оружия и наркотиков. Очевидно, что в будущем угрозы станут только усложняться. Уже сегодня многие атаки - это комбинации различных методик. Использование только традиционных систем, таких как антивирусы, не дает возможности адекватно защищаться от современных типов атак. Организации, которые защищаются только от известных угроз всегда рискуют, поскольку кибермошенники продолжают выдумывать и создавать новые техники атак. Принципы построения системы информационной безопасности. В рамках обеспечения информационной безопасности следует рассмотреть на законодательном уровне две группы мер: направленные на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности; направляющие и координирующие, способствующие повышению образованности общества в области информационной безопасности, помогающие в разработке и распространении средств обеспечения информационной безопасности. К первой группе следует отнести основные законодательные акты, касающиеся информационной безопасности и являющиеся частью правовой системы Российской Федерации. В 2000 г. Президентом РФ утверждена Доктрина информационной безопасности Российской Федерации. Этот документ представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности РФ [20]. В этом направлении действуют также ряд ФЗ и подзаконных нормативных актов [11], [12]. Для создания и поддержания необходимого уровня информационной безопасности в организации должна быть разработана система правовых норм, представленная в следующих документах: уставе и/или учредительном договоре; коллективном договоре; правилах внутреннего трудового распорядка; должностных обязанностях сотрудников; специальных нормативных документах по информационной безопасности (приказах, положениях, инструкциях); договорах со сторонними организациями; трудовых договорах с сотрудниками; • иных индивидуальных актах. Под обеспечением безопасности информационных систем понимают меры, предохраняющие информационную систему от случайного или преднамеренного вмешательства в режимы ее функционирования. Методы и средства обеспечения безопасности экономического объекта представлены на рис. 12.3.  |