Угроза. 2 лекция. Понятие информационных угроз и их виды
 Скачать 146.54 Kb.
|
Рис. 2 Действия и события, нарушающие информационную безопасностьУтечкаконфиденциальнойинформации– это бесконтрольный выход конфиденциальной информации за пределы ИС или круга лиц, которым она была доверена по службе или стала известна в процессе работы. Эта утечка может быть следствием: разглашения конфиденциальной информации; ухода информации по различным, главным образом техническим, каналам; несанкционированного доступа к конфиденциальной информации различными способами. Разглашение информации ее владельцем или обладателем есть умышленные или неосторожные действия должностных лиц и пользователей, которым соответствующие сведения в установленном порядке были доверены по службе или по работе, приведшие к ознакомлению с ним лиц, не допущенных к этим сведениям. Возможен бесконтрольныйуходконфиденциальнойинформациипо визуально-оптическим, акустическим, электромагнитным и другим каналам. По физической природе возможны следующие средства переноса информации: Световые лучи. Звуковые волны. Электромагнитные волны. Материалы и вещества. Под каналом утечки информации будем понимать физический путь от источника конфиденциальной информации к злоумышленнику, по которому возможна утечка или несанкционированное получение охраняемых сведений. Для возникновения (образования, установления) канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также соответствующие средства восприятия и фиксации информации на стороне злоумышленника. Применительно к практике с учетом физической природы образования каналы утечки информации можно разделить на следующие группы: визуально-оптические; акустические (включая и акустико-преобразовательные); электромагнитные (включая магнитные и электрические); материально- вещественные (бумага, фото, магнитные носители, производственные отходы различного вида – твердые, жидкие, газообразные). Визуально-оптическиеканалы– это, как правило, непосредственное или удаленное (в том числе и телевизионное) наблюдение. Переносчиком информации выступает свет, испускаемый источниками конфиденциальной информации или отраженный от него в видимом, инфракрасном и ультрафиолетовом диапазонах. Акустические каналы. Для человека слух является вторым по информативности после зрения. Поэтому одним из довольно распространенных каналов утечки информации является акустический канал. В акустическом канале переносчиком информации выступает звук, лежащий в полосе ультра (более 20000 Гц), слышимого и инфразвукового диапазонов. Диапазон звуковых частот, слышимых человеком, лежит в пределах от 16 до 20000 Гц, и содержащихся в человеческой речи - от 100 до 6000 Гц. В свободном воздушном пространстве акустические каналы образуются в помещениях при ведении переговоров в случае открытых дверей, окон, форточек. Кроме того, такие каналы образуются системой воздушной вентиляции помещений. В этом случае образование каналов существенно зависит от геометрических размеров и формы воздуховодов, акустических характеристик фасонных элементов задвижек, воздухораспределителей и подобных элементов. Электромагнитныеканалы.Переносчиком информации являются электромагнитные волны в диапазоне от сверхдлинных с длиной волны 10000 м. (частоты мене 30 Гц) до сублимированных с длиной волны 1 - 0,1 мм. (частоты от 300 до 3000 ГГц). Каждый из этих видов электромагнитных волн обладает специфическими особенностями распространения, как по дальности, так и в пространстве. Длинные волны, например, распространяются на весьма большие расстояния, миллиметровые - наоборот, на удаление лишь прямой видимости в пределах единиц и десятков километров. Кроме того, различные телефонные и иные провода и кабели связи создают вокруг себя магнитное и электрическое поля, которые также выступают элементами утечки информации за счет наводок на другие провода и элементы аппаратуры в ближней зоне их расположения. Материально-вещественными каналами утечки информации выступают самые различные материалы в твердом, жидком и газообразном или корпускулярном (радиоактивные элементы) виде. Очень часто это различные отходы производства бракованные изделия, черновые материалы и др. Очевидно, что каждый источник конфиденциальной информации может обладать в той или иной степени какой-то совокупностью каналов утечки информации. Причины утечки связаны, как правило, с несовершенством норм по сохранению информации, а также нарушением этих норм (в том числе и несовершенных), отступлением от правил обращения с соответствующими документами, техническими средствами, образцами продукции и другими материалами, содержащими конфиденциальную информацию. факторам утечки могут, например, относиться: недостаточное знание работниками предприятия правил защиты информации и непонимание (или недопонимание) необходимости их тщательного соблюдения; использование неаттестованных технических средств обработки конфиденциальной информации; слабый контроль за соблюдением правил защиты информации правовыми, организационными и инженерно-техническими мерами. Несанкционированный доступ (НСД)Это наиболее распространенный вид информационных угроз заключается в получении пользователем доступа к объекту, на который у него нет разрешения в соответствии с принятой в организации политикой безопасности. Обычно самая главная проблема определить, кто и к каким наборам данных должен иметь доступ, а кто нет. Другими словами, необходимо определить термин «несанкционированный». По характеру, воздействия НСД является активным воздействием, использующим ошибки системы. НСД обращается обычно непосредственно к требуемому набору данных, либо воздействует на информацию о санкционированном доступе с целью легализации НСД. НСД может быть подвержен любой объект системы. НСД может быть осуществлен как стандартными, так и специально разработанными программными средствами к объектам. Есть и достаточно примитивные пути несанкционированного доступа: хищение носителей информации и документальных отходов; инициативное сотрудничество; склонение к сотрудничеству со стороны взломщика; выпытывание; подслушивание; наблюдение и другие пути. Любые способы утечки конфиденциальной информации могут привести к значительному материальному и моральному ущербу как для организации, где функционирует ИС, так и для ее пользователей. Менеджерам следует помнить, что довольно большая часть причин и условий, создающих предпосылки и возможность неправомерного овладения конфиденциальной информацией, возникает из-за элементарных недоработок руководителей организаций и их сотрудников. Например, к причинам и условиям, создающим предпосылки для утечки коммерческих секретов, могут относиться: недостаточное знание работниками организации правил защиты конфиденциальной информации и непонимание необходимости их тщательного соблюдения; использование неаттестованных технических средств обработки конфиденциальной информации; слабый контроль за соблюдением правил защиты информации правовыми организационными и инженерно- техническими мерами и др. Пример №1 (М. Накамото "Япония борется с утечками", "Понедельник" от 02.03.2004г.) В скандалах и конфликтах, связанных с промышленным шпионажем, японские компании долгое время выступали в роли ответчиков - одним из самых известных примеров этого стало дело 1982 г., когда сотрудников Hitachi обвинили в краже интеллектуальной собственности у корпорации IBM. Однако теперь, по мере обострения международной конкуренции в областях, где японцы традиционно доминировали, они сами все чаще становятся жертвами промышленных шпионов. Корпорация Sharp, тщательно охраняющая собственные технологические разработки, разместила свой суперсовременный завод по производству жидкокристаллических панелей в местечке Камеяма – в глухой горной местности, вдали от посторонних взоров. Но и здесь гигант электронной промышленности не чувствует себя в полной безопасности: с определенного времени тревогу сотрудников Sharp стал вызывать таинственный автомобиль, примерно раз в месяц объезжавший вокруг секретного объекта корпорации. Подозрительная машина, по мнению представителей Sharp, вполне может принадлежать агенту конкурирующей компании, надеющейся выведать важные детали чужого ноу-хау. «Утечка технологий из Японии снижает конкурентоспособность страны и приводит к сокращению занятости, – утверждает Йосинори Комия, директор Агентства по защите интеллектуальной собственности при Министерстве экономики, торговли и промышленности (МЭТП). Мы признаем, что некоторые технологии подлежат передаче за границу; но сейчас часто передаются и такие технологии, которые руководители компаний стремятся сохранить в тайне». Особенно болезненной для японского правительства эта проблема стала сейчас, когда соседи страны восходящего солнца добились серьезных успехов на рынке высоких технологий. Даже самым крупным и сильным в рыночном отношении японским компаниям приходится теперь занимать оборонительную позицию и тщательно оберегать свою интеллектуальную собственность. По данным МЭТП, многие компании, становящиеся жертвами промышленного шпионажа, стремятся не раздувать скандал, поскольку виновными в кражах оказываются их собственные сотрудники, а не агенты извне. Как признает Йокио Сотоку, вице-президент Matsushita, в японском бизнесе по-прежнему нередки нарушения со стороны "пятой колонны", например со стороны сотрудников, работающих в конкурирующих фирмах по выходным. Исследования МЭТП показывают также, что одним из каналов утечки коммерческой информации становятся бывшие сотрудники японских компаний, устраивающиеся на работу в других азиатских странах и уносящие с собой ноу-хау своих прежних работодателей. МЭТП выделила основные пути, по которым конфиденциальная информация утекает к конкурентам японских компаний, среди которых - копирование данных сотрудниками в нерабочее время; работа сотрудников по совместительству в конкурирующих компаниях (например, в выходные); создание совместного предприятия с зарубежной компанией при недостаточно проработанной политике информационной безопасности; нарушение партнером-поставщиком оборудования соглашения о сохранении конфиденциальности и т.п. МЭТП отмечает, что многие компании, не осознавшие вовремя риска, связанного с утечкой ноу-хау, несут из-за этого значительные убытки, но суды в таких случаях относятся к ним без сочувствия, поскольку речь идет о халатности и беспечности. Из 48 судебных дел, в ходе которых японские компании требовали компенсации за ущерб от кражи интеллектуальной собственности, только в 16 случаях эти требования были признаны обоснованными. Пример №2 (Б. Госсидж "Болтун - находка для конкурента" "Понедельник" от 16.02.2004г.) Фил Сипович, основатель и глава американской компании Everynetwork, специализирующейся на ИТ-консалтинге, никогда не считал себя болтливым или склонным к неосмотрительным высказываниям. Ведя переговоры о возможном партнерстве с одним из конкурентов, Сипович старался не открывать карты, говоря лишь о том, что считал действительно необходимым для продвижения сделки. После переговоров исполненный оптимизма Сипович вместе со своим юристом составил проект договора о неразглашении и послал его партнеру по факсу. Ответ пришел только через несколько недель и оказался неожиданным – партнер заявил, что не заинтересован ни в слиянии, ни в альянсе, ни в чем-либо другом... А еще через месяц один из клиентов Сиповича позвонил и сообщил, что к нему обратился с предложением другой консультант. Как оказалось, тот самый несостоявшийся партнер! Только тут Сипович вспомнил, что в ходе переговоров случайно упомянул трех своих ключевых клиентов. Его подозрения оправдались: скоро два других клиента тоже получили предложения от альтернативного консультанта. "Это не было масштабной маркетинговой кампанией, они искали подход лишь к тем клиентам, которых я сам упомянул,- констатирует Сипович. - Сделать я уже ничего не мог, поскольку сам проболтался".     
Разглашение и утечка приводит к неправомерному ознакомлению с конфиденциальной информацией при минимальных затратах усилий со стороны злоумышленника. Этому способствуют некоторые не лучшие личностно- профессиональные характеристики и действия сотрудников фирмы, представленные на рис.3
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
