ОСНОВЫ ИБ. Лекция 1 Понятие информации
 Скачать 49.83 Kb.
|
|
Лекция 1 Понятие информации Информация – это сведения (сообщения, данные) независимо от формы их представления Данные – это информация, представленная в виде пригодном для обработки автоматическими средствами при возможном участии человека Электронное сообщение-информация, переданная или полученная пользователем информационной-телекоммуникационной сети Информационно-телекоммуникационная сеть-технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники Документированная информация-зафиксированная на материальном носителе путем документирования, информация с реквизитами, позволяющими определить токую информацию или в установленных законодательством РФ случаях ее материальный носитель Доступ к информации Обладатель информации-лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации определяемой по каким либо признакам Доступ к информации-возможность получения информации и ее использование Предоставление информации-действия, направленные на получение информации определенным кругом лиц или передачу информации определенному кругу лиц Распространение информации-действия, направленные на получение информации неопределенным кругом лиц или передачу информации неопределенному кругу лиц Информационные системы Информационные системы-процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов Информационная система-совокупность, содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств Оператор информационной системы-гражданин или юридическое лицо, осуществляющее деятельность по эксплуатации информационной системы, в том числе по обработке информации содержащейся в ее базах данных Электронный документ-документированная информация, представленная в электронной форме, то есть в виде пригодном для восприятия человеком с использованием вычислительных машин Обработка информации Система обработки информации-совокупность технических средств и ПО а также методов обработки информации и действия персонала, необходимых для выполнения автоматизированной обработки информации Автоматизированная система-система, состоящая из персонала и комплекта средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций Объект информатизации- совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией Защита информации Защищаемая информация-информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями собственника информации Объект защиты информации-информация или носитель информации , или информационный процесс, который необходимо защищать в соответствии с целью защиты информации Носитель защищаемой информации-физическое лицо или материальный объект , в том числе физическое поле , в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин Информационная безопасность Конфиденциальность-свойство информации, заключающееся в ее доступности ограниченному кругу лиц Целостность-свойство информации, заключающееся в отсутствии в ней любых изменений за исключением санкционированных Доступность-свойство информации, заключающееся в возможности легального пользователя получить доступ к ней доступ, возможно, при выполнении условий установленных владельцем информации Информационная безопасность-свойство информации сохранять конфиденциальность, целостность, доступность Лекция 2 Стратегия национальной безопасности Национальная безопасность РФ-состояние защищенности личности, общества, государства от внутренних и внешних угроз, при котором обеспечивается реализация конституционных прав и свобод граждан РФ Стратегия национальной безопасности состоит из 6 частей : 1.Общее положение 2.Россия в современном мире 3.Национальные интересы и стратегические национальные приоритеты 4.Обеспечение национальной безопасности 5.Ораганизационнае,нормативно-правовые и информационные основы реализации стратегии 6.Основные показатели состояния национальной безопасности Доктрина информационной безопасности Доктрина состоит из 5 частей : 1.Общее положение 2.Национальные интересы в информационной сфере 3.Основыне информационные угрозы и состояние информационной безопасности 4.Стратегические цели и основные направления обеспечения информационной безопасности 5.Организационные основы обеспечения информационной безопасности Информационная сфера(ИС)-совокупность информации, объектов информатизации, информационных систем, сайтов в интернете Информационная безопасность РФ-состояние защищенности личности, общества, государства от внутренних и внешних информационных угроз Информационная инфо-структура РФ-совокупность объектов информатизации, информационных систем , сайтов в сети интернет и сетей связи, расположенных на территории РФ, а также на территориях, находящихся под юрисдикцией РФ или используемых на основании международных договоров РФ Угроза информационной безопасности РФ-совокупность действий и факторов , создающих опасность нанесения ущерба национальным интересам в информационной сфере(ИС) Силы обеспечения ИБ-должностные лица, уполномоченные решать задачи по обеспечению информационной безопасности , в соответствии с законодательством РФ Средства обеспечения ИБ- правовые , организационные , технические и другие средства, используемые силами обеспечения ИБ Обеспечение ИБ-осуществление взаимоувязанных правовых, организационных, кадровых и так далее, мер по прогнозированию, обнаружению, сдерживанию, предотвращению и так далее информационных угроз и ликвидации последствий их проявления Система обеспечения ИБ-совокупность сил обеспечения ИБ, осуществляющих скоординированную и спланированную деятельность , и использующих силы средств обеспечивания ИБ Национальные интересы РФ в информационной сфере-объективно значимые потребности личности Ю общества и государства в обеспечении их защищенности и устойчивого развития в части , касающейся информационной сферы(ИС) Государственная тайна Государственная тайна-защищаемые государством сведения в области его военной , политической, экономической ,распространение которых может нанести ущерб безопасности РФ Допуск к государственной тайне-процедура оформления на доступ к сведениям, составляющими государственную тайну , а предприятий, учреждений и организаций на проведение работ с использованием таких сведений Гриф секретности-реквизиты, свидетельствующие о степени секретности сведений Существует 3 грифа секретности: 1.Особой важности 2.совершенно секретно 3.секретно Перечень сведений , составляющих государственную тайну-совокупность категорий сведений, в соответствии с которыми сведения относятся к государственной тайне и засекречиваются на основаниях и в порядке, установленных федеральным законодательством Отнесение сведений к государственной тайне и их засекречивание-введение в предусмотренном настоящим законом порядке для сведений , составляющих государственную тайну, ограничений на их распространение и на доступ к их носителям Осуществляется в соответствии с принципами законности, обоснованности, своевременности Законность-отнесение сведений к государственной тайне на основании статей 5 и 7 закона РФ Обоснованность-отнесение сведений к государственной тайне и их засекречивание заключается в установлении оценки целесообразности засекречивания конкретных сведений Своевременность-отнесение сведений к государственной тайне и их засекречивание заключается в установлении ограничений на распространение этих сведений с момента их получения(разработки) или заблаговременно Коммерческая тайна Коммерческая тайна-режим конфиденциальности информации, позволяющий ее обладателю при существующих или возможных обстоятельствах увеличить доходы, уменьшить потери, сохранить положение на рынке или иную коммерческую выгоду Информация, составляющая коммерческую тайну-сведения любого характера , которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их 3-им лицам , к котором у 3-их лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны Признаки информации, которые составляют коммерческую тайну : 1. Коммерческая ценность информации и ее неизвестность 3-им лицам означает что информация не должна быть общественна 2. Отсутствие доступа к информации на законном основании 3. Меры по охране конфиденциальности информации Информация, которая не может составить коммерческую тайну : Содержащиеся в учредительных документах юридического лица, документа, подтверждающих факт внесения записей о юридических лицах об индивидуальных предпринимателях в соответствующие государственные реестры Содержащийся в документах, дающих право на осуществление предпринимательской деятельности О составе имущества государственного или муниципального унитарного предприятия , государственного учреждения и об использовании ими средств соответствующих бюджетов О загрязнении окружающей среды , состояния противопожарной безопасности , эпидемиологической обстановке, безопасности пищевых продуктов и так далее О численности о составе работников о системе оплаты труда, об условиях труда , в том числе об охране труда, о показателях производственного травматизма и так далее О задолженности работодателей по выплате ЗП и по иным социальным выплатам О нарушениях законодательства РФ и фактах привлечениях к ответственности за совершение этих нарушений Об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности О размерах и структуре доходов некоммерческих организаций , о размерах и составе их имущества , об их расходах , о численности и об оплате труда их работников, об деятельности некоммерческой организации О перечне лиц , имеющих право действовать без доверенности от имени юридического лица Обязательность раскрытия которых или недопустимость ограничения доступа к которым установлена иными федеральными законами Обладатель информации , составляющей коммерческую тайну- лицо , которое владеет информацией , составляющей коммерческую тайну на законном основании, ограничило доступ к этой информации и установили в отношении ее режим коммерческой тайны Права обладателя информации , составляющей коммерческую тайну : Права обладателя информации, возникают с момента установления или в отношении этой информации режима коммерческой тайны в соответствии со статьей 10 ФЗ Имеет права устанавливать , изменять, отменять в письменной форме режим коммерческой тайны в соответствии с ФЗ и гражданско-правовым договором Использовать информацию , для собственных нужд в порядке , не противоречащим законодательству РФ Разрешать или запрещать доступ к информации , определять порядок и условия доступа этой информации Требовать от юридических и физических лиц получивших доступ к информации, органов государственной власти , органов местного самоуправления , которым предоставлена информация, соблюдения обязанностей по охране ее конфиденциальности Требовать от лиц, получивших доступ к информации в результате действий совершенных случайно или по ошибке , охраны конфиденциальности этой информации Защищать в установленном законом порядке свои права в случае разглашения , незаконного получения или незаконного использования 3-ми лицами информации составляющей коммерческую тайну, в том числе требовать возмещения убытков , причиненных в связи с нарушением его прав Доступ к информации , составляющей коммерческую тайну-ознакомление определенных лиц с информацией, составляющей коммерческую тайну , с согласия ее обладателя или на ином законном основании при условии сохранения конфиденциальности этой информации Разглашение информации , составляющей коммерческую тайну-действия или бездействие , в результате которых информация , составляющая коммерческую тайну , в любой возможной форме (устной , письменной , иной форме , в том числе с использованием технических средств) становится известной 3-им лицам без согласия обладателя такой информации либо вопреки или гражданско-правовому договору Персональные данные Персональные данные-любая информация, относящаяся прямо или косвенно определенному или определяемому физическому лицу Оператор-какое-либо лицо , занимающееся обработкой персональных данных , а также определяющие цели обработки персональных данных, состав персональных данных , подлежащих обработке , действия(операции) , совершаемые с персональными данными Обработка персональных данных-любое действие или совокупность действий , совершаемых с использованием средств автоматизации или без них, с персональными данными Принципы обработки персональных данных Обработка должна быть на законной и справедливой основе Обработка должна ограничиваться достижением конкретных , заранее определенных и законных целей Не допускается объединение баз данных, содержащих персональные данные , обработка которых осуществляется в целях, несовместных между собой Обработке подлежат только персональные данные , которые отвечают целям их обработке Содержание и объем обрабатываемых данных должны соответствовать заявленным целям обработки Про обработке данных должны быть обеспечены точность данных , и их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных .Оператор должен обеспечивать из принятие по удалению или уточнению неполных данных Уничтожение персональных данных-действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и(или) в результате которых уничтожаются материальный носители персональных данных Обезличивание персональных данных-действия , в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных Лекция 3 Понятие угрозы безопасности информации Угроза(безопасности информации)-совокупность условий и факторов , создающих потенциальную или реально существующую опасность нарушения безопасности информации Источник угрозы безопасности информации-субъект(физическое лицо, материальный объект или физическое явление) , являющейся непосредственной причиной возникновения угрозы безопасности информации Уязвимость(информационной системы)-свойство Информационной системы, обусловливающее возможность реализации угроз безопасности обрабатываемой в ней информации Фактор, воздействующий на защищаемую информацию – явление , действие или процесс , результатом которого могут быть утечка , искажение , уничтожение защищаемой информации, блокирование доступа к ней Несанкционированный доступ к информации(НСД)- доступ к информации , нарушающий правила разграничения доступа с использованием штатных(совокупность программного, технического, обеспечения средств ВТ или АС) средств предоставляемых средствами ВТ или АС Виды угроз безопасности информации Основные виды угроз безопасности Хищение(копирование информации) Уничтожение информации Модификация(искажение) информации Нарушение доступности (блокирование) информации Навязывание ложной информации Отрицание подлинности информации Навязывание ложной информации Классификация угроз ИБ 1. По аспекту информационной безопасности 2. По компонентам объекта информатизации 3. По способу осуществления 4. По расположению источника угроз По аспекту информационной безопасности Угроза нарушения доступности : (Возникает всякий раз, когда в результате несанкционированных или(и) непреднамеренных воздействий, блокируется доступ к некоторому информационному ресурсу АС) Угроза нарушения целостности : (Включает в себя любое умышленное изменение информации , хранящейся в вычислительной системе или передаваемой из одной системы в другую) Угроза нарушения конфиденциальности : (Заключатся в том, что информация становится известной тому , кто не располагает полномочиями доступа к ней) По компонентам объекта информатизации, на которые угрозы нацелены Данные Программы Аппаратура Поддерживающая инфраструктура По способу осуществления Случайные действия Преднамеренные действия Природного характера Техногенного характера По расположению источника угроз Внутри рассматриваемой АС Вне рассматриваемой АС Источники угроз безопасности информации Антропогенные источники угроз(внутренние) Основной персонал(пользователи) Представители служб защиты информации Вспомогательный персонал( уборщики, охрана и др) Технический персонал( жизнеобеспечение , эксплуатация) Антропогенные источники угроз(внешние) Криминальные структуры Потенциальные нарушители, хакеры Недобросовестные партнеры Технический персонал провайдеров услуг Представители надзорных организаций и аварийных служб Представители силовых ведомств Техногенные угрозы(внутренние) Некачественные средства ОИ Некачественные программные средства ОИ Вспомогательные средства(охраны, сигнализации, телефонии) Другие технические средства Техногенные угрозы(вешние) Средства связи Инженерные коммуникации Транспорт Стихийные источники Пожары Землетрясения Наводнения Ураганы Другие форс-мажорные обстоятельства Нарушители безопасности информации Нарушитель информационной безопасности организации-физическое лицо или логический объект, случайно или преднамеренно совершивший действие, следствием которого является нарушение информационной безопасности организации Тип нарушителя определяется на основе прав доступа субъекта к: 1. Устройствам ввода\вывода информации 2. Беспроводным устройством 3.Программным , программно-техническим и техническими средствами обработки информации 4. Съемным машинным носителям информации 5. Активному и пассивному оборудованию каналов связи 6. Каналам связи , выходящим за переделы контролируемой зоны Внешние нарушители(Тип 1)- лица, не имеющие права доступа к информационной системе, ее отдельным компонентам и реализующие угрозы безопасности информации из-за границ информационной системы ПРИМЕРЫ: Клиенты Приглашенные посетители Представители конкурирующих организаций Наблюдатели ща пределами охраняемой территории Внутренние нарушители(Тип 2)-лица, имеющие право постоянного или разового доступа к информационной системе, ее отдельными компонентами ПРИМЕРЫ: Операторы информационной системы Администраторы вычислительных сетей Прикладные и системные программисты Технический персонал по обслуживанию зданий Виды и цели нарушителей Виды нарушителей Специальные службы иностранных государств Террористические, экстремистские группировки Преступные группы Внешние субъекты Конкурирующие организации Разработчики, производители, поставщики, программно-технических средств Лица, привлекаемые для установки, накладки, монтажа, пусконаладочных и иных работ Лица ,обеспечивающие функционирование информационных систем или обслуживающие инфраструктуру оператора Пользователи информационной системы Администраторы информационной системы и администраторы безопасности Бывшие работники Цели нарушителей: Нанесение ущерба государству, отдельным его сферам деятельности или секторами экономики Реализация угроз безопасности информации по идеологическим или политическим условиям Организация террористического акта Причинение имущественного ущерба путем мошенничества или иным преступным путем Дискредитация или дестабилизация деятельности органов государственной власти, организаций Получение конкурентных преимуществ Внедрение дополнительных функциональных возможностей в программное обеспечение или программно-технические средства на этапе разработки Любопытство или желание самореализации Выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды Реализация угроз безопасности информации из мести Реализация угроз безопасности информации непреднамеренно из-за неосторожности или неквалифицированных действий
Потенциал и возможности нарушителей Потенциал нарушителей: Нарушители с базовым(низким) потенциалом Нарушители с базовым повышенным(средним) потенциалом Нарушители с высоким потенциалом Нарушители с базовым(низким) потенциалом Внешние субъекты(физические лица) Лица, обеспечивающие функционирование информационных систем или обслуживание инфраструктуру оператора Пользователи информационной системы Бывшие работники Лица, привлекаемые для каких либо работ по установки чего-либо Нарушители с базовым повышенным(средним) потенциалом: Террористические, экстремистские группировки Преступные группы, криминальные структуры Конкурирующие организации Разработчики, производители, поставщики программных и технический средств Администраторы информационной системы и администраторы безопасности Нарушители с высоким потенциалом: Специальные службы иностранных государств, блоков государств Возможности нарушители с базовым(низким) потенциалом: Получать информацию об уязвимости отдельных компонентов информационной системы, опубликованную в общедоступных источниках Получать информацию о методах и средствах реализации угроз безопасности информации или самостоятельно создать методы и реализации атак на информационную систему Возможности нарушители с базовым(средним) потенциалом: Все возможности нарушителей с базовым потенциалом Осведомленность о мерах защиты информации в системе данного типа Возможность получить информацию об уязвимостях отдельных компонентов информационной системы Доступ к сведениям о структурно-функциональных характеристиках и особенностях функционирования информационной системы Возможности нарушители с высоким потенциалом Все возможности нарушителей с базовым и средним потенциалом Имеют возможность осуществлять НСД Имеют возможность получить доступ к ПО чипсетов, системному и прикладному обеспечению Имеют возможность получить информацию об уязвимостях и создать методы и средства реализации угроз безопасности информации Способы реализации угроз безопасности Угрозы безопасности информации могут быть реализованы нарушителями за счет: НСД и(или) воздействия на объекты на аппаратном уровне НСД и(или) воздействие на объекты на общедоступном уровне НСД и(или) воздействия на объекты на прикладном уровне НСД и(или) воздействия на объекты на сетевом уровне Несанкционированного физического доступа и(или) воздействия на линии, каналы связи, технические средства машинные носители информации Воздействия на пользователей , администраторов безопасности, администраторов информационной системы или обслуживающий персонал(социальная инженерия) Доступ к компонентам информационной системы Создание условий и средств, обеспечивающих такой доступ Доступа или воздействия на обслуживающую инфраструктуру, за которой оператор не отвечает Локальная цель нарушителя, не имеющего доступа к компонентам информационной : Получение доступа к информационной системе Получение максимального возможных прав и привилегий при таком доступе Нарушители могут совершать действия, следствием которых является нарушение безопасности информации, преднамеренно(преднамеренные угрозы безопасности информации) или случайно (непреднамеренные угрозы безопасности информации) Целенаправленная угроза безопасности информации направлена на интересующую нарушителя информационную систему с заранее известным ему структурно-функциональными характеристиками и особенностями функционирования Целенаправленная угроза безопасности информации адаптирована к структурно-функциональным характеристикам информационной системы При подготовке и реализации целенаправленных угроз безопасности информации нарушитель может использовать методы социальной инженерии, которые позволяют ему изучить поведение пользователей и их реакцию на поступающие к ним внешние данные Нецеленаправленная(веерная) угроза безопасности информации не ориентирована на конкретную информационную систему ЦЕЛИ: НСД Перехват управления или воздействия на как можно больше количество информационных систем Реализация преднамеренных угроз безопасности информации включает: Сбор информации об информационной системе , ее структурно-функциональных характеристиках, условиях функционирования Выбор методов и средств, используемых для реализации угроз безопасности информации в информационной системе с заданным структурно-функциональными характеристиками и условиями функционирования Лекция 4 Назначение модели угроз информационной безопасности Целью определения угроз безопасности информации является установление того, что: Существует ли возможность нарушения безопасности информации, содержащейся в ИС Приведет ли нарушение ИБ к нанесению ущерба для: Обладателя информации Оператора информации или персональных данных Субъектов персональных данных Принципы моделирования угроз ИБ Носит системный характер Осуществляется: На этапе проектирования ИС В ходе эксплуатации ИС Оценка угроз безопасности информации проводится экспертным методом Методика модели ИБ Общее положение Описание информационной системы и особенностей ее функционирования: Цель и задачи, решаемые информационной системой Описание структурно-функциональных характеристик ИС Описание технологии обработки информации Возможности нарушителей(модель нарушителя) Типы и виды нарушителей Возможные цели и потенциал нарушителей Возможные способы реализации угроз безопасности информации Актуальные угрозы безопасности информации Приложения(при необходимости) До начала моделирования угроз определяется: Физические и политические границы ИС Объекты зашиты и сегменты ИС В модель угроз безопасности информации включается: Область применения процесса определения угроз безопасности информации Область действия модели угроз ИБ Структурно-функциональные характеристики ИС Особенности функционирования ИС Идентификация угроз безопасности информации и их источников Угрозы ИБ рассматриваются как совокупность Источника угроз Факторов, обуславливающих возможность реализации угрозы Методов реализации угрозы Последствий от реализации угрозы Антропогенные источники угроз Лица, осуществляющие преднамеренные действия с целью: Доступ к информации Воздействие на информацию Нарушение функционирования ИС или обслуживающей ее инфраструктуру Лица, имеющие доступ к информационной системе, не преднамеренные действия которых могут привести к нарушению безопасности информации Техногенные источники угроз Техногенные угрозы связаны с отказами или сбоями в работе технических средств или программного обеспечения Причины техногенных угроз Низкое качество технических , программных или программно-технических средств Низкое качество сетей связи и(или) услуг связи Отсутствие или низкая эффективность систем резервирования или дублирования программно-технических и технических средств Низкое качество инженерных систем(кондиционирования, энергоснабжения, охранных систем и т.д) Низкое качество обслуживания со стороны обслуживающих организаций и лиц Для идентификации угроз в ИС определяются: Возможности (тип, вид, потенциал) нарушителей , необходимые им для реализации угроз безопасности информации Уязвимости, которые могут использоваться при реализации угроз безопасности информации Способы (методы ) реализации угроз безопасности информации Объекты информационной системы , на которые направлена угроза безопасности информации (объекты воздействия) Результат и последствия от реализации угроз безопасности информации Модель нарушителя Целью оценки возможностей нарушителей, является формирование предположения о: Типах нарушителей Видах нарушителей Потенциале нарушителей Целях нарушителей Возможных способах реализации угроз безопасности информации В зависимости от потенциала, нарушители подразделяются на: Нарушителей, обладающих базовым(низким) потенциалом Нарушителей, обладающих базовым(средним) потенциалом Нарушителей, обладающих высоким потенциалом В качестве возможных целей, могут быть: Нанесение, ущерба государству, отдельным его сферам деятельности или секторам экономики Реализация угроз безопасности информации по идеологическим или политическим мотивам Организация террористического акта Причинение имущественного ущерба путем мошенничества или иным преступным путем Дискредитация или дестабилизация деятельности органов государственной власти, организаций Получение конкурентных преимуществ Внедрение дополнительных функциональных возможностей в программное обеспечение или программно-технические средства на этапе разработки Любопытство или желание самореализации Выявление уязвимостей с целью их дальнейшей продажи и получения финансовой выгоды Реализация угроз безопасности информации из мести Реализация угроз безопасности информации непреднамеренно из-за неосторожности или неквалифицированных действий Угрозы безопасности информации могут быть реализованы нарушителями за счет: НСД и(или) воздействия на объекты на аппаратном уровне НСД и(или) воздействия на объекты на общесистемном уровне НСД и(или) воздействия на объекты на прикладном уровне НСД и(или) воздействия на объекты на сетевом уровне Несанкционированного физического доступа и(или) воздействия на линии, каналы связи, технические средства машинные носители информации Воздействия на пользователей , администраторов безопасности, администраторов информационной системы или обслуживающий персонал(социальная инженерия)
Принцип оценки актуальности угроз |