1 Понятие информации. Виды представления и классификация информации
 Скачать 1.37 Mb.
|
|
№1 Понятие информации. Виды представления и классификация информации. Информация (от латинского informatio – сообщение, представление, понятия) – сведения, передаваемые одними людьми другим людям устным, письменным или каким-либо другим способом, а также сам процесс передачи или получения этих сведений. В технике связи информация представляется в виде сообщений или данных. Сообщение – форма представления информации (текст, речь,изображение). Данные – сведения о лицах, предметах, событиях, явлениях,процессах, отображаемые на материальном носителе и используемые вцелях сохранения знаний. Информация может быть открытой (общедоступной) и с ограниченным доступом. Информация с ограниченным доступом в свою очередь делится на секретную (государственную тайну) и конфиденциальную информацию. Конфиденциальная информация – это документированная информация, доступ к которой ограничивается в соответствии с законодательством. Конфиденциальная информация в свою очередь включает в себя множество тайн, которые можно свести к 6-ти основным видам –личная тайна; –судебно-следственная тайна; –служебная тайна; –профессиональная тайна; –коммерческая тайна; –производственная тайна. №2 Понятия безопасности и системы безопасности информации. Фрагментарный и системный подход к защите информации. Защищаемая информация (ЗИ) – это информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственниками информации государством, юридическим лицом, группой физических лиц, отдельным физическим лицом). Безопасность – это состояние защищенности жизненно важных интересов личности, предприятия, государства от внутренних и внешних угроз. Угрозы – это потенциально или реально существующие воздействия, приводящие к моральному или материальному ущербу. Фрагментарный подход ориентируется на противодействие строго определенным угрозам при определенных условиях. Примером такого подхода может быть использование при защите информации специального антивирусного средства. Избирательность данного подхода относительно конкретной угрозы обуславливает локальность его действия. Даже небольшое видоизменение угрозы ведет к снижению эффективности защиты. Отличительная черта фрагментарного подхода – отсутствие единой защищенной среды обработки, хранения и передачи информации. Системный подход предполагает создание единой защищенной среды обработки, хранения и передачи информации,объединяющей разнообразные методы и средства защиты информации.Организация защищенной среды позволяет гарантировать определенный уровень информационной безопасности системы.Система защиты информации должна обеспечить сохранениечетырех основных свойств информации: – конфиденциальности; – достоверности; – целостности; – доступности. №3 Требования к защите информации. Виды обеспечения системы защиты информации. Защита информации должна быть: – непрерывной. – плановой. – целенаправленной. – конкретной. – активной. – надежной. – универсальной. – комплексной. Система защиты информации, как и любая система должна иметь определенные виды собственного обеспечения, опираясь на которые она будет выполнять свою целевую функцию. С учетом этого система защиты информации может иметь: – правовое обеспечение. – организационное–аппаратное обеспечение.– информационное обеспечение.– программное обеспечение. – математическое обеспечение. – лингвистическое обеспечение. – нормативнометодическое обеспечение. №4 Концептуальная модель информационной безопасности и ее компоненты. Концептуальная модель безопасности информации содержать следующие компоненты – объекты угроз; – угрозы информации; – источники угроз; – цели угроз со стороны злоумышленников; – источники информации; – способы защиты информации; – средства защиты информации; – направления защиты информации; – способы доступа к информации (способы неправомерного овладения информацией). Объектом угроз информационной безопасности выступают сведения о составе, состоянии и деятельности объекта защиты Угрозы информации выражаются в нарушении ее целостности, конфиденциальности, достоверности и доступности. Источниками угроз выступают конкуренты, преступники, коррупционеры, административные органы.Целями угроз являются ознакомление с охраняемыми сведениями, их модификация в корыстных целях и уничтожение для нанесения прямого материального ущерба.Источниками информации являются люди, документы, публикации, технические носители информации, технические средства обеспечения производственной и трудовой деятельности, продукция и отходы производства.Способы защиты включают всевозможные меры и действия, обеспечивающие упреждение противоправных действий, их предотвращение, пресечение и противодействие несанкционированному доступу.Средствами защиты информации являются физические средства,аппаратные средства, программные средства, криптографические и стеганографические методы. Последние два метода могут быть реализованы аппаратными, программными и аппаратнопрограммными средствами. №5 Модель построения системы информационной безопасности предприятия модель информационной безопасности – это совокупность объективных внешних и внутренних факторов и их влияние на состояние информационной безопасности на объекте и на сохранность материальных или информационных ресурсов. Для построения сбалансированной системы информационной безопасности предполагается первоначально провести анализ рисков в области информационной безопасности. Затем определить оптимальный уровень риска для организации на основе заданного критерия. Систему информационной безопасности (контрмеры) необходимо построить таким образом, чтобы достичь заданного уровня риска. Рассматриваются следующие объективные факторы: – угрозы информационной безопасности, характеризующиеся вероятностью возникновения и вероятностью реализации; –уязвимости информационной системы или системы контрмер, влияющие на вероятность реализации угрозы; – риск – фактор, отражающий возможный ущерб организации в результате реализации угрозы информационной безопасности (риск в конечном итоге отражает вероятные финансовые потери, прямые или косвенные). №6 Угрозы конфиденциальной информации и их классификация. Под угрозами конфиденциальной информации понимаются потенциальные или реально возможные действия по отношению к информационным ресурсам, приводящие к неправомерному овладению охраняемыми сведениями. Такими действиями являются: – ознакомление (получение) с конфиденциальной информацией – противоправные действия, не приводящие к изменению или разрушению информации; – искажение (модификация) информации – случайные или преднамеренные действия, приводящие к частичному изменению содержания; – разрушение (уничтожение) информации – противоправные действия, приводящие к значительному или полному разрушению информационных ресурсов. В конечном итоге противоправные действия с информацией приводят к нарушению ее конфиденциальности (разглашение, утечка, несанкционированный доступ), достоверности (фальсификация, подделка,мошенничество),целостности (искажение, ошибки, потери) и доступности (нарушение связи,воспрещение получения), что в свою очередь приводит к нарушению как режима управления, так и его качества в условиях ложной или неполной информации. 7. Источники угроз безопасности информации, их классификация и ранжирование. Носителями угроз безопасности информации являются источники угроз. В качестве источников угроз могут выступать как субъекты (личность), так и объективные проявления. Причем, источники угроз могут находиться как внутри защищаемой организации – внутренние источники, так и вне ее – внешние источники. Все источники угроз безопасности информации можно разделить на три основные группы – обусловленные действиями субъекта (антропогенные источники угроз); – обусловленные техническими средствами (техногенные источники угроз); – обусловленные стихийными источниками (стихийные источники угроз). Антропогенными источниками угроз безопасности информации выступают субъекты, действия которых могут быть квалифицированы как умышленные или случайные преступления. В качестве антропогенного источника угроз можно рассматривать субъекта, имеющего доступ (санкционированный или несанкционированный) к работе со штатными средствами защищаемого объекта. Внешние источники могут быть случайными или преднамеренными и иметь разный уровень квалификации. Внутренние источники (субъекты), как правило, представляют собой высококвалифицированных специалистов в области разработки и эксплуатации программного обеспечения и технических средств, знакомых со спецификой решаемых задач, структурой и основными функциями и принципами работы аппаратно- программных средств защиты информации, имеют возможность использования штатного оборудования и технических средств сети. Техногенные источники угроз безопасности информации содержат источники, определяемые технократической деятельностью человека и развитием цивилизации. Стихийные источники угроз безопасности информации объединяют обстоятельства, представляющие непреодолимую силу, то есть такие обстоятельства, которые носят объективный и абсолютный характер, распространяющийся на всех. 8. Уязвимости безопасности информации, их классификация и ранжирование. Угрозы, как возможные опасности совершения какого-либо действия, направленного против объекта защиты, проявляются не сами по себе, а через уязвимости (факторы), приводящие к нарушению безопасности информации на конкретном объекте. Объективные уязвимости зависят от особенностей построения и технических характеристик оборудования, применяемого на защищаемом объекте. Полное устранение этих уязвимостей невозможно, но они могут существенно ослабляться техническими и инженерно-техническими методами парирования угроз безопасности информации. Субъективные уязвимости зависят от действий сотрудников и, в основном, устраняются организационными и программно-аппаратными методами. Случайные уязвимости зависят от особенностей окружающей защищаемый объект среды и непредвиденных обстоятельств. Эти факторы, как правило, мало предсказуемы и их устранение возможно только при проведении комплекса организационных и инженерно-технических мероприятий по противодействию угрозам информационной безопасности. Все уязвимости имеют разную степень опасности Коу, которую можно количественно оценить, проведя их ранжирование. При этом оценка степени опасности проводится по косвенным показателям. В качестве критериев сравнения (показателей) можно выбрать: – доступность Кд – определяет удобство (возможность) использования уязвимости источником угроз (массогабаритные размеры, сложность, стоимость необходимых средств, возможность использования не специализированной аппаратуры); – количество Кк – определяет количество элементов объекта, которым характерна та или иная уязвимость; – фатальность Кф – определяет степень влияния уязвимости на неустранимость последствий реализации угрозы. Для объективных уязвимостей это информативность – способность уязвимости полностью (без искажений) передать полезный информационный сигнал. 9. Действия, приводящие к неправомерному овладению конфиденциальной информацией. В общем случае факт получения охраняемых сведений злоумышленниками или конкурентами называют утечкой. Однако одновременно с этим используются и такие понятия, как разглашение сведений и несанкционированный доступ к конфиденциальной информации. Утечка – это бесконтрольный выход конфиденциальной информации за пределы организации или круга лиц, которым она была доверена. Утечка информации осуществляется по различным технически каналам: визуально-оптическим, акустическим, электромагнитным, а также материально - вещественным. Разглашение – это умышленные или неосторожные действия с конфиденциальными сведениями, приведшие к ознакомлению с ними лиц, не допущенных к ним. Разглашение выражается в сообщении, передаче, предоставлении, пересылке, опубликовании, утере и в других формах обмена и действий с деловой и научной информацией. Реализуется разглашение по формальным и неформальным каналам распространения информации. Формальные коммуникации включают деловые встречи, совещания, переговоры, обмен официальными деловыми и научными документами, в том числе и с помощью средств передачи официальной информации (почта, телефон, факс и т.д.). Неформальные коммуникации включают личное общение (встречи, переписка и др.), выставки, семинары, конференции и другие массовые мероприятия, а также средства массовой информации (печать, газеты, интервью, радио, телевидение и др.) Как правило, причиной разглашения конфиденциальной информации является недостаточное знание сотрудниками правил защиты коммерческих секретов и непонимание (или недопонимание) необходимости их тщательного соблюдения. Несанкционированный доступ – это противоправное преднамеренное овладение конфиденциальной информацией лицом, не имеющим права доступа к охраняемым сведениям. Несанкционированный доступ к источникам конфиденциальной информации реализуется различными способами: от инициативного сотрудничества, выражающегося в активном стремлении «продать» секреты, до использования различных средств проникновения к коммерческим секретам. Для реализации этих действий злоумышленнику приходится часто проникать на объект или создавать вблизи него специальные посты контроля и наблюдения – стационарные или подвижные, оборудованные самыми современными техническими средствами. Если исходить из комплексного подхода к обеспечению информационной безопасности, то такое деление ориентирует на защиту информации как от утечки по техническим каналам, так и от разглашения и от несанкционированного доступа к ней со стороны конкурентов и злоумышленников. 10. Направления обеспечения информационной безопасности. это нормативно-правовые категории, определяющие комплексные меры защиты информации на государственном уровне, на уровне предприятия и организации, на уровне отдельной личности. С учетом сложившейся практики обеспечения информационной безопасности выделяют следующие направления защиты информации – правовая защита (специальные правовые акты, правила, процедуры и мероприятия, обеспечивающие защиту информации на правовой основе); – организационная защита (регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающая нанесение ущерба); – инженерно- техническая защита (использование различных технических средств, препятствующих нанесению ущерба). Кроме этого защитные действия, ориентированные на обеспечение информационной безопасности, могут быть охарактеризованы целым рядом параметров, отражающих ориентацию на объекты защиты, характер угроз, направления, способы действий, охват и масштабность – по ориентации: – персонал; – материальные и финансовые ценности; – информация; – по характеру угроз: – разглашение; – утечка; – несанкционированный доступ; – по направлениям: – правовая – организационная; – инженерно-техническая; – по способам действий: – предупреждение; – выявление; – обнаружение; – пресечение; – восстановление; – по охвату: – территория; – здание; – помещение; – аппаратура; – элементы аппаратуры; – по масштабу – объектовая; – групповая; – индивидуальная. 11. Правовая и организационная защита информации. Правовая защита информации – это специальные правовые акты, правила, процедуры и мероприятия, обеспечивающие защиту информации на правовой основе. Правовая защита информации как ресурса признана на международном и государственном уровне. На международном уровне она определяется межгосударственными договорами, конвенциями, декларациями и реализуется патентами, авторскими правами и лицензиями. На государственном уровне правовая защита регулируется государственными актами (конституция, законы, кодексы, указы, постановления) и ведомственными актами (приказы, руководства, положения, инструкции). Организационная защита информации – это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз. К основным организационным мероприятиям можно отнести – организацию режима и охраны, целью которой является исключение возможности тайного проникновения на территорию и в помещения посторонних лиц. Она предусматривает обеспечение удобства контроля прохода и перемещения сотрудников и посетителей, создание отдельных производственных зон по типу конфиденциальных работ с самостоятельными системами доступа, контроль и соблюдение временного режима труда и пребывания на территории персонала, организацию и поддержание надежного пропускного режима и контроля сотрудников и посетителей и др. – организацию работы с сотрудниками, которая предусматривает подбор и расстановку персонала, включая ознакомление с сотрудниками, их изучение, обучение правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение правил защиты информации и др.; – организацию работы с документами и документированной информацией, включая организацию разработки и использования документов и носителей конфиденциальной информации, их учет, исполнение, возврат, хранение и уничтожение; – организацию использования технических средств сбора, обработки, накопления и хранения конфиденциальной информации; – организацию работы по анализу внутренних и внешних угроз конфиденциальной информации и выработке мер по обеспечению ее защиты; – организацию работы по проведению систематического контроля за работой персонала с конфиденциальной информацией, порядком учета, хранения и уничтожения документов и технических носителей информации. |