Ошибки при разработке ит это какая угроза

Текст работы размещён без изображений и формул.
Полная версия работы доступна во вкладке «Файлы работы» в формате PDF

Информационная безопасность в самом широком смысле – это совокупность средств защиты информации от случайного или преднамеренного воздействия. Независимо от того, что лежит в основе воздействия: естественные факторы или причины искусственного характера – владелец информации несет убытки.

Принципы информационной безопасности

• Целостность информационных данных означает способность информации сохранять изначальный вид и структуру как в процессе хранения, как и после неоднократной передачи. Вносить изменения, удалять или дополнять информацию вправе только владелец или пользователь с легальным доступом к данным.
• Конфиденциальность – характеристика, которая указывает на необходимость ограничить доступа к информационным ресурсам для определенного круга лиц. В процессе действий и операций информация становится доступной только пользователям, который включены в информационные системы и успешно прошли идентификацию.
• Доступность информационных ресурсов означает, что информация, которая находится в свободном доступе, должна предоставляться полноправным пользователям ресурсов своевременно и беспрепятственно.
• Достоверность указывает на принадлежность информации доверенному лицу или владельцу, который одновременно выступает в роли источника информации.

Обеспечение и поддержка информационной безопасности включают комплекс разноплановых мер, которые предотвращают, отслеживают и устраняют несанкционированный доступ третьих лиц. Меры ИБ направлены также на защиту от повреждений, искажений, блокировки или копирования информации. Принципиально, чтобы все задачи решались одновременно, только тогда обеспечивается полноценная, надежная защита.

---

Комплексное решение задач информационной безопасности обеспечивает DLP-система. «СёрчИнформ КИБ» контролирует максимальное число каналов передачи данных и предоставляет ИБ-службе компании большой набор инструментов для внутренних расследований.

---

Особенно остро ставятся основные вопросы об информационном способе защите, когда взлом или хищение с искажением информации потянут за собой ряд тяжелых последствий, финансовых ущербов.

Созданная с помощью моделирования логическая цепочка трансформации информации выглядит следующим образом:

УГРОЖАЮЩИЙ ИСТОЧНИК ⇒ ФАКТОР УЯЗВИМОСТИ СИСТЕМЫ ⇒ ДЕЙСТВИЕ (УГРОЗА БЕЗОПАСНОСТИ) ⇒ АТАКА ⇒ ПОСЛЕДСТВИЯ

Разновидности угроз информационной безопасности

Угрозой информации называют потенциально возможное влияние или воздействие на автоматизированную систему с последующим нанесением убытка чьим-то потребностям.

На сегодня существует более 100 позиций и разновидностей угроз информационной системе. Важно проанализировать все риски с помощью разных методик диагностики. На основе проанализированных показателей с их детализацией можно грамотно выстроить систему защиты от угроз в информационном пространстве.

Классификация уязвимостей систем безопасности

Угрозы информационной безопасности проявляются не самостоятельно, а через возможное взаимодействие с наиболее слабыми звеньями системы защиты, то есть через факторы уязвимости. Угроза приводит к нарушению деятельности систем на конкретном объекте-носителе.

Основные уязвимости возникают по причине действия следующих факторов:

• несовершенство программного обеспечения, аппаратной платформы;
• разные характеристики строения автоматизированных систем в информационном потоке;
• часть процессов функционирования систем является неполноценной;
• неточность протоколов обмена информацией и интерфейса;
• сложные условия эксплуатации и расположения информации.

Чаще всего источники угрозы запускаются с целью получения незаконной выгоды вследствие нанесения ущерба информации. Но возможно и случайное действие угроз из-за недостаточной степени защиты и массового действия угрожающего фактора.

Существует разделение уязвимостей по классам, они могут быть:

• объективными;
• случайными;
• субъективными.

Если устранить или как минимум ослабить влияние уязвимостей, можно избежать полноценной угрозы, направленной на систему хранения информации.

Объективные уязвимости

Этот вид напрямую зависит от технического построения оборудования на объекте, требующем защиты, и его характеристик. Полноценное избавление от этих факторов невозможно, но их частичное устранение достигается с помощью инженерно-технических приемов, следующими способами:

1. Связанные с техническими средствами излучения:

• электромагнитные методики (побочные варианты излучения и сигналов от кабельных линий, элементов техсредств);
• звуковые варианты (акустические или с добавлением вибросигналов);
• электрические (проскальзывание сигналов в цепочки электрической сети, по наводкам на линии и проводники, по неравномерному распределению тока).

2. Активизируемые:

• вредоносные ПО, нелегальные программы, технологические выходы из программ, что объединяется термином «программные закладки»;
• закладки аппаратуры – факторы, которые внедряются напрямую в телефонные линии, в электрические сети или просто в помещения.

3. Те, что создаются особенностями объекта, находящегося под защитой:

• расположение объекта (видимость и отсутствие контролируемой зоны вокруг объекта информации, наличие вибро- или звукоотражающих элементов вокруг объекта, наличие удаленных элементов объекта);
• организация каналов обмена информацией (применение радиоканалов, аренда частот или использование всеобщих сетей).

4. Те, что зависят от особенностей элементов-носителей:

• детали, обладающие электроакустическими модификациями (трансформаторы, телефонные устройства, микрофоны и громкоговорители, катушки индуктивности);
• вещи, подпадающие под влияние электромагнитного поля (носители, микросхемы и другие элементы).

Случайные уязвимости

Эти факторы зависят от непредвиденных обстоятельств и особенностей окружения информационной среды. Их практически невозможно предугадать в информационном пространстве, но важно быть готовым к их быстрому устранению. Устранить такие неполадки можно с помощью проведения инженерно-технического разбирательства и ответного удара, нанесенного угрозе информационной безопасности:

1. Сбои и отказы работы систем:

• вследствие неисправности технических средств на разных уровнях обработки и хранения информации (в том числе и тех, что отвечают за работоспособность системы и за контроль доступа к ней);
• неисправности и устаревания отдельных элементов (размагничивание носителей данных, таких как дискеты, кабели, соединительные линии и микросхемы);
• сбои разного программного обеспечения, которое поддерживает все звенья в цепи хранения и обработки информации (антивирусы, прикладные и сервисные программы);
• перебои в работе вспомогательного оборудования информационных систем (неполадки на уровне электропередачи).

2. Ослабляющие информационную безопасность факторы:

• повреждение коммуникаций вроде водоснабжения или электроснабжения, а также вентиляции, канализации;
• неисправности в работе ограждающих устройств (заборы, перекрытия в здании, корпуса оборудования, где хранится информация).

Субъективные уязвимости

Этот подвид в большинстве случаев представляет собой результат неправильных действий сотрудников на уровне разработки систем хранения и защиты информации. Поэтому устранение таких факторов возможно при помощи методик с использованием аппаратуры и ПО:

1. Неточности и грубые ошибки, нарушающие информационную безопасность:

• на этапе загрузки готового программного обеспечения или предварительной разработки алгоритмов, а также в момент его использования (возможно во время ежедневной эксплуатации, во время ввода данных);
• на этапе управления программами и информационными системами (сложности в процессе обучения работе с системой, настройки сервисов в индивидуальном порядке, во время манипуляций с потоками информации);
• во время пользования технической аппаратурой (на этапе включения или выключения, эксплуатации устройств для передачи или получения информации).

2. Нарушения работы систем в информационном пространстве:

• режима защиты личных данных (проблему создают уволенные работники или действующие сотрудники в нерабочее время, они получают несанкционированный доступ к системе);
• режима сохранности и защищенности (во время получения доступа на объект или к техническим устройствам);
• во время работы с техустройствами (возможны нарушения в энергосбережении или обеспечении техники);
• во время работы с данными (преобразование информации, ее сохранение, поиск и уничтожение данных, устранение брака и неточностей).

Ранжирование уязвимостей

Каждая уязвимость должна быть учтена и оценена специалистами. Поэтому важно определить критерии оценки опасности возникновения угрозы и вероятности поломки или обхода защиты информации. Показатели подсчитываются с помощью применения ранжирования. Среди всех критериев выделяют три основных:

• Доступность – это критерий, который учитывает, насколько удобно источнику угроз использовать определенный вид уязвимости, чтобы нарушить информационную безопасность. В показатель входят технические данные носителя информации (вроде габаритов аппаратуры, ее сложности и стоимости, а также возможности использования для взлома информационных систем неспециализированных систем и устройств).

• Фатальность – характеристика, которая оценивает глубину влияния уязвимости на возможности программистов справиться с последствиями созданной угрозы для информационных систем. Если оценивать только объективные уязвимости, то определяется их информативность – способность передать в другое место полезный сигнал с конфиденциальными данными без его деформации.
• Количество – характеристика подсчета деталей системы хранения и реализации информации, которым присущ любой вид уязвимости в системе.

Каждый показатель можно рассчитать как среднее арифметическое коэффициентов отдельных уязвимостей. Для оценки степени опасности используется формула. Максимальная оценка совокупности уязвимостей – 125, это число и находится в знаменателе. А в числителе фигурирует произведение из КД, КФ и КК.

Чтобы узнать информацию о степени защиты системы точно, нужно привлечь к работе аналитический отдел с экспертами. Они произведут оценку всех уязвимостей и составят информационную карту по пятибалльной системе. Единица соответствует минимальной возможности влияния на защиту информации и ее обход, а пятерка отвечает максимальному уровню влияния и, соответственно, опасности. Результаты всех анализов сводятся в одну таблицу, степень влияния разбивается по классам для удобства подсчета коэффициента уязвимости системы.

Какие источники угрожают информационной безопасности?

Если описывать классификацию угроз, которые обходят защиту информационной безопасности, то можно выделить несколько классов. Понятие классов обязательно, ведь оно упрощает и систематизирует все факторы без исключения. В основу входят такие параметры, как:

1. Ранг преднамеренности совершения вмешательства в информационную систему защиты:

• угроза, которую вызывает небрежность персонала в информационном измерении;
• угроза, инициатором которой являются мошенники, и делают они это с целью личной выгоды.

2. Характеристики появления:

• угроза информационной безопасности, которая провоцируется руками человека и является искусственной;
• природные угрожающие факторы, неподконтрольные информационным системам защиты и вызывающиеся стихийными бедствиями.

3. Классификация непосредственной причины угрозы. Виновником может быть:

• человек, который разглашает конфиденциальную информацию, орудуя с помощью подкупа сотрудников компании;
• природный фактор, приходящий в виде катастрофы или локального бедствия;
• программное обеспечение с применением специализированных аппаратов или внедрение вредоносного кода в техсредства, что нарушает функционирование системы;
• случайное удаление данных, санкционированные программно-аппаратные фонды, отказ в работе операционной системы.

4. Степень активности действия угроз на информационные ресурсы:

• в момент обрабатывания данных в информационном пространстве (действие рассылок от вирусных утилит);
• в момент получения новой информации;
• независимо от активности работы системы хранения информации (в случае вскрытия шифров или криптозащиты информационных данных).

Существует еще одна классификация источников угроз информационной безопасности. Она основана на других параметрах и также учитывается во время анализа неисправности системы или ее взлома. Во внимание берется несколько показателей.

Классификация угроз

Состояние источника угрозы	в самой системе, что приводит к ошибкам в работе и сбоям при реализации ресурсов АС; в пределах видимости АС, например, применение подслушивающей аппаратуры, похищение информации в распечатанном виде или кража записей с носителей данных; мошенничество вне зоны действия АС. Случаи, когда информация захватывается во время прохождения по путям связи, побочный захват с акустических или электромагнитных излучений устройств.
Степень влияния	активная угроза безопасности, которая вносит коррективы в структуру системы и ее сущность, например, использование вредоносных вирусов или троянов; пассивная угроза – та разновидность, которая просто ворует информацию способом копирования, иногда скрытая. Она не вносит своих изменений в информационную систему.
Возможность доступа сотрудников к системе программ или ресурсов	вредоносное влияние, то есть угроза информационным данным может реализоваться на шаге доступа к системе (несанкционированного); вред наносится после согласия доступа к ресурсам системы.
Способ доступа к основным ресурсам системы	применение нестандартного канала пути к ресурсам, что включает в себя несанкционированное использование возможностей операционной системы; использование стандартного канала для открытия доступа к ресурсам, например, незаконное получение паролей и других параметров с дальнейшей маскировкой под зарегистрированного в системе пользователя.
Размещение информации в системе	вид угроз доступа к информации, которая располагается на внешних устройствах памяти, вроде несанкционированного копирования информации с жесткого диска; получение доступа к информации, которая показывается терминалу, например, запись с видеокамер терминалов; незаконное проникание в каналы связи и подсоединение к ним с целью получения конфиденциальной информации или для подмены реально существующих фактов под видом зарегистрированного сотрудника. Возможно распространение дезинформации; проход к системной области со стороны прикладных программ и считывание всей информации.

При этом не стоит забывать о таких угрозах, как случайные и преднамеренные. Исследования доказали, что в системах данные регулярно подвергаются разным реакциям на всех стадиях цикла обработки и хранения информации, а также во время функционирования системы.

В качестве источника случайных реакций выступают такие факторы, как:

• сбои в работе аппаратуры;
• периодические шумы и фоны в каналах связи из-за воздействия внешних факторов (учитывается пропускная способность канала, полоса пропуска);
• неточности в программном обеспечении;
• ошибки в работе сотрудников или других служащих в системе;
• специфика функционирования среды Ethernet;
• форс-мажоры во время стихийных бедствий или частых отключений электропитания.

---

Для контроля событий в программных и аппаратных источниках удобно использовать SIEM-систему. «СёрчИнформ SIEM» обрабатывает поток событий, выявляет угрозы и собирает результаты в едином интерфейсе, что ускоряет внутренние расследования. 

---

Погрешности в функционировании программного обеспечения встречаются чаще всего, а в результате появляется угроза. Все программы разрабатываются людьми, поэтому нельзя устранить человеческий фактор и ошибки. Рабочие станции, маршрутизаторы, серверы построены на работе людей. Чем выше сложность программы, тем больше возможность раскрытия в ней ошибок и обнаружения уязвимостей, которые приводят к угрозам информационной безопасности.

Часть этих ошибок не приводит к нежелательным результатам, например, к отключению работы сервера, несанкционированному использованию ресурсов, неработоспособности системы. Такие платформы, на которых была похищена информация, могут стать площадкой для дальнейших атак и представляют угрозу информационной безопасности.

Чтобы обеспечить безопасность информации в таком случае, требуется воспользоваться обновлениями. Установить их можно с помощью паков, выпускаемых разработчиками. Установление несанкционированных или нелицензионных программ может только ухудшить ситуацию. Также вероятны проблемы не только на уровне ПО, но и в целом связанные с защитой безопасности информации в сети.

Преднамеренная угроза безопасности информации ассоциируется с неправомерными действиями преступника. В качестве информационного преступника может выступать сотрудник компании, посетитель информационного ресурса, конкуренты или наемные лица. Причин для совершения преступления может быть несколько: денежные мотивы, недовольство работой системы и ее безопасностью, желание самоутвердиться.

Есть возможность смоделировать действия злоумышленника заранее, особенно если знать его цель и мотивы поступков:

• Человек владеет информацией о функционировании системы, ее данных и параметрах.
• Мастерство и знания мошенника позволяют ему действовать на уровне разработчика.
• Преступник способен выбрать самое уязвимое место в системе и свободно проникнуть к информации, стать угрозой для нее.
• Заинтересованным лицом может быть любой человек, как свой сотрудник, так и посторонний злоумышленник.

Например, для работников банков можно выделить такие намеренные угрозы, которые можно реализовать во время деятельности в учреждении:

• Ознакомление сотрудников предприятия с информацией, недоступной для них.
• Личные данные людей, которые не трудятся в данном банке.
• Программные закладки с угрозами в информационную систему.
• Копирование программного обеспечения и данных без предварительного разрешения в личных целях.
• Кража распечатанной информации.
• Воровство электронных носителей информации.
• Умышленное удаление информации с целью скрытия фактов.
• Совершение локальной атаки на информационную систему.
• Отказы от возможного контроля удаленного доступа или отрицание факта получения данных.
• Удаление банковских данных самовольно из архива.
• Несанкционированная коррекция банковских отчетов лицом, не составляющим отчет.
• Изменение сообщений, которые проходят по путям связей.
• Самовольное уничтожение данных, которые повредились вследствие вирусной атаки.

Конкретные примеры нарушения защиты информации и доступа к данным

Несанкционированный доступ – один из самых «популярных» методов компьютерных правонарушений. То есть личность, совершающая несанкционированный доступ к информации человека, нарушает правила, которые зафиксированы политикой безопасности. При таком доступе открыто пользуются погрешностями в системе защиты и проникают к ядру информации. Некорректные настройки и установки методов защиты также увеличивают возможность несанкционированного доступа. Доступ и угроза информационной безопасности совершаются как локальными методами, так и специальными аппаратными установками.

С помощью доступа мошенник может не только проникнуть к информации и скопировать ее, но и внести изменения, удалить данные. Делается это с помощью:

• перехвата косвенных электромагнитных излечений от аппаратуры или ее элементов, от каналов связи, электропитания или сеток заземления;
• технологических панелей регулировки;
• локальных линий доступа к данным (терминалы администраторов системы или сотрудников);
• межсетевых экранов;
• методов обнаружения ошибок.

Из всего разнообразия методов доступа и угроз информации можно условно выделить основные преступления:

• Перехват паролей;
• «Маскарад»;
• Незаконное пользование привилегиями.

Перехват паролей – распространенная методика доступа, с которой сталкивалось большинство сотрудников и тех, кто занимается обеспечением информационной безопасности. Это мошенничество возможно с участием специальных программ, которые имитируют на экране монитора окошко для ввода имени и пароля. Введенные данные попадают в руки злоумышленника, и далее на дисплее появляется сообщение о неправильной работе системы. Затем возможно повторное всплывание окошка авторизации, после чего данные снова попадают в руки перехватчика информации, и так обеспечивается полноценный доступ к системе, возможно внесение собственных изменений. Есть и другие методики перехвата пароля, поэтому стоит пользоваться шифрованием паролей во время передачи, а сделать это можно с помощью специальных программ или RSA.

Способ угрозы информации «Маскарад» во многом является продолжением предыдущей методики. Суть заключается в действиях в информационной системе от лица другого человека в сети компании. Существуют такие возможности реализации планов злоумышленников в системе:

• Передача ложных данных в системе от имени другого человека.
• Попадание в информационную систему под данными другого сотрудника и дальнейшее совершение действий (с предварительным перехватом пароля).

Особенно опасен «Маскарад» в банковских системах, где манипуляции с платежами приводят компанию в убыток, а вина и ответственность накладываются на другого человека. Кроме того, страдают клиенты банка.

Незаконное использование привилегий – название разновидности хищения информации и подрыва безопасности информационной системы говорит само за себя. Именно администраторы наделены максимальным списком действий, эти люди и становятся жертвами злоумышленников. При использовании этой тактики происходит продолжение «маскарада», когда сотрудник или третье лицо получает доступ к системе от имени администратора и совершает незаконные манипуляции в обход системы защиты информации.

Но есть нюанс: в этом варианте преступления нужно перехватить список привилегий из системы предварительно. Это может случиться и по вине самого администратора. Для этого требуется найти погрешность в системе защиты и проникнуть в нее несанкционированно.

Угроза информационной безопасности может осуществляться на умышленном уровне во время транспортировки данных. Это актуально для систем телекоммуникаций и информационных сеток. Умышленное нарушение не стоит путать с санкционированными модификациями информации. Последний вариант выполняется лицами, у которых есть полномочия и обоснованные задачи, требующие внесения изменений. Нарушения приводят к разрыву системы или полному удалению данных.

Существует также угроза информационной безопасности, которая нарушает конфиденциальность данных и их секретность. Все сведения получает третье лицо, то есть посторонний человек без права доступа. Нарушение конфиденциальности информации имеет место всегда при получении несанкционированного доступа к системе.

Угроза защите безопасности информации может нарушить работоспособность компании или отдельного сотрудника. Это ситуации, в которых блокируется доступ к информации или ресурсам ее получения. Один сотрудник создает намеренно или случайно блокирующую ситуацию, а второй в это время натыкается на блокировку и получает отказ в обслуживании. Например, сбой возможен во время коммутации каналов или пакетов, а также угроза возникает в момент передачи информации по спутниковым системам. Их относят к первичным или непосредственным вариантам, поскольку создание ведет к прямому воздействию на данные, находящиеся под защитой.

Выделяют такие разновидности основных угроз безопасности информации в локальных размерах:

• Компьютерные вирусы, нарушающие информационную безопасность. Они оказывают воздействие на информационную систему одного компьютера или сети ПК после попадания в программу и самостоятельного размножения. Вирусы способны остановить действие системы, но в основном они действуют локально;
• «Черви» – модификация вирусных программ, приводящая информационную систему в состояние блокировки и перегрузки. ПО активируется и размножается самостоятельно, во время каждой загрузки компьютера. Происходит перегрузка каналов памяти и связи;
• «Троянские кони» – программы, которые внедряются на компьютер под видом полезного обеспечения. Но на самом деле они копируют персональные файлы, передают их злоумышленнику, разрушают полезную информацию.

Даже защитная система компьютера представляет собой ряд угроз защите безопасности. Поэтому программистам необходимо учитывать угрозу осмотра параметров системы защиты. Иногда угрозой могут стать и безобидные сетевые адаптеры. Важно предварительно установить параметры системы защиты, ее характеристики и предусмотреть возможные пути обхода. После тщательного анализа можно понять, какие системы требуют наибольшей степени защищенности (акцент на уязвимостях).

Раскрытие параметров системы защиты относят к непрямым угрозам безопасности. Дело в том, что раскрытие параметров не даст реализовать мошеннику свой план и скопировать информацию, внести в нее изменения. Злоумышленник только поймет, по какому принципу нужно действовать и как реализовать прямую угрозу защиты безопасности информации.

На крупных предприятиях методами, защищающими информационную безопасность, должна заведовать специальная служба безопасности компании. Ее сотрудники должны искать способы воздействия на информацию и устранять всевозможные прорывы злоумышленников. По локальным актам разрабатывается политика безопасности, которую важно строго соблюдать. Стоит обратить внимание и на исключение человеческого фактора, а также поддерживать в исправности все технические средства, связанные с безопасностью информации.

Наносимый ущерб

Степени и проявления ущерба могут быть разными:

• Моральный и материальный ущерб, нанесенный физическим лицам, чья информация была похищена.
• Финансовый ущерб, нанесенный мошенником в связи с затратами на восстановление систем информации.
• Материальные затраты, связанные с невозможностью выполнения работы из-за перемен в системе защиты информации.
• Моральный ущерб, связанный с деловой репутацией компании или повлекший нарушения взаимоотношений на мировом уровне.

Возможность причинения ущерба есть у лица, которое совершило правонарушение (получило несанкционированный доступ к информации, или произошел взлом систем защиты). Также ущерб может быть нанесен независимо от субъекта, обладающего информацией, а вследствие внешних факторов и воздействий (техногенных катастроф, стихийных бедствий). В первом случае вина ложится на субъекта, а также определяется состав преступления и выносится наказание посредством судебного разбирательства.

Возможно совершение деяния:

• с преступным умыслом (прямым или косвенным);
• по неосторожности (без умышленного причинения вреда).

Ответственность за правонарушение по отношению к информационным системам выбирается согласно действующему законодательству страны, в частности, по уголовному кодексу в первом случае. Если преступление совершено по неосторожности, а ущерб нанесен в малых размерах, то ситуацию рассматривает гражданское, административное или арбитражное право.

Ущербом информационного пространства считаются невыгодные для собственника (в данном случае информации) последствия, связанные с потерей материального имущества. Последствия проявляются в результате правонарушения. Выразить ущерб информационным системам можно в виде уменьшения прибыли или ее недополучения, что расценивается как упущенная выгода.

Главное, вовремя обратиться в суд и выяснить состав преступления. Ущерб нужно классифицировать согласно правовым актам и доказать его в судебном процессе, а еще важно выявить размер деяния личностей, размер их наказания на основе законодательства. Такими преступлениями и безопасностью чаще всего занимается киберполиция или служба безопасности страны в зависимости от объема и значимости вмешательства в информацию.

Этап защиты информации сегодня считается самым актуальным и требуется любому предприятию. Защищать нужно не только ПК, но и все техустройства, контактирующие с информацией. Все данные могут стать оружием в руках злоумышленников, поэтому конфиденциальность современных IT-систем должна находиться на высшем уровне.

---

Одновременное использование DLP- и SIEM-систем решает задачу защиты данных более эффективно. Испытать программы на практике можно во время бесплатного 30-дневного триала. Узнать детали…  

---

Задержки у атакующей информационную безопасность стороны возможны только в связи с прохождением системы защиты. Абсолютных способов обезопасить себя от угроз не существует, поэтому информационную систему защиты требуется всегда усовершенствовать, поскольку мошенники тоже усовершенствуют свои методики. Пока не придуман универсальный способ, который подходит каждому и дает стопроцентную защиту. Важно остановить проникновение злоумышленников на раннем уровне.

Содержание:

ВВЕДЕНИЕ

Развитие всемирной экономики характеризуется все большей зависимостью рынка от существенного объема информационных потоков, а принятие решений во всех сферах жизнедеятельности компаний или предприятий все в большей степени основывается на информационных процессах. Исследование данных процессов с дальнейшей выработкой управляющих решений выполняется на базе информационных моделей, сформированных на нынешних информационно-телекоммуникационных технологиях.

Информационный ресурс стает одним из основных источников экономической эффективности компаний. Практически наблюдается тенденция, когда любые жизнедеятельности компаний стают зависимы от информационного развития, в процессе которого они сами формируют информацию и сами же ее употребляют. Потому защита информации является самостоятельным и значимым направлением деятельности компании. [3]

Несмотря на все растущие усилия по формированию технологий защиты ее уязвимость информации не только не понижается, а также постоянно повышается. В нынешнее время огромные иностранные компании до 40% прибыли вносят в безопасность. В РФ также увеличивается тенденция повышения ассигнований в обеспечении ИБ. Фактически во всех устойчиво функционирующих компаниях сформированы службы безопасности. Эффективность работоспособности такого типа служб в большинстве зависит от грамотного внесения определенных средств и профессионального подхода в вопросах организации системы защиты данных.

На данном этапе развития ключевыми угрозами безопасности компании представляют собой угрозы в сфере информационного обеспечения. Последствиями эффективного проведения информационных налетов могут стать искажение или компрометация личной информации, навязывание ложной информации, несоблюдение поставленного регламента сбора, передачи и обработки информации, сбои и отказы в работе технических систем, которые вызваны непреднамеренными и преднамеренными действиями, как со стороны преступных сообществ, со стороны конкурентов, так и со стороны сотрудников организации.

К одной из наиболее основных задач в области обеспеченья безопасности нужно отнести проектирование комплексной системы защиты данных, которая включает создание и введение всех нынешних технологий, средств и методов, которые обеспечивают защиту компании от всех типов угроз, и гарантируют его устойчивое развитие в нынешних условиях.

С появлением информационных технологий появилась и необходимость повышенного внимания к вопросам информационной безопасности. Временная недоступность. Несанкционированное использование или, в худшем случае, разрушение информационного ресурса могут наносить компаниям очень значительный вред, а главное, материальный ущерб.

Без защиты компьютерных информационных систем, внедрение этих систем в компанию может и оказаться экономически невыгодным. Значительные потери данных, что хранятся и обрабатываются в компьютерных сетях, потери конфиденциальности данных — результаты незащищенности компьютерных информационных систем.

В данной работе описана значимая часть информационной безопасности – угрозы. Описаны понятия и виды угроз безопасности в компьютерных информационных системах. Добиться раскрытие темы не возможно без определений и критерий классификации угроз, наиболее распространенных угроз доступности с примерами, описания вредоносного ПО, основных угроз целостности и конфиденциальности.

Объектом в работе выступают угрозы информационной безопасности, предметом – их виды и состав.

Целью работы является исследование видов и состав угроз информационной безопасности.

Для достижения заданной цели в работе необходимо выполнить ряд задач:

— рассмотреть основные определения и критерии классификации;

— выявить состав и виды угроз информационной безопасности (ИБ);

— рассмотреть наиболее распространяемые угрозы конфиденциальности, целостности и доступности;

— рассмотреть статистику угроз ИБ и ее направления деятельности.

При написании работы были применены такие методы научного исследования, как изучение научной литературы по теме исследования, нормативно-правовой базы, аналитический и сравнительный методы.

Глава 1. Теоретические сведения о угрозах информационной безопасности

1.1 Основные определения и критерии классификации угроз

К основным определениям можно отнести само понятие угрозы, а также атаки, злоумышленника, источниками угрозы, уязвимых мест, окна опасности. [1,5,16]

Под угрозой понимают потенциальную возможность нарушить информационную безопасность каким-либо образом.

Атака — это попытка сделать (реализовать) угрозу. А тот кто это хочет сделать называют злоумышленником. Если злоумышленник реализовал угрозу его можно назвать источником угрозы.

Возможность доступа определенных лиц к важному оборудованию или ошибки программного обеспечения, другими словами, это называется уязвимыми местами в компьютерных информационных системах. Именно наличие этих мест чаще всего и является следствием наличия угроз.

Нужно ввести при рассмотрении угроз такое понятие как окно безопасности – это определенный промежуток времени от возможности использовать место компьютерной информационной системы до ликвидации этого места. Т.е., существование окна безопасности равносильно существованию успешных атак на информационную систему.

Ели говорить о программном обеспечении, то окно появляется с появлением ошибки в программном обеспечении и ликвидируется при решении этой ошибки.

Окно безопасности систем может существовать значительно долго –дни и даже недели, и за это время в любой компании должны узнать о средствах использования проблемы в защите, также должны быть выпущены соответствующие заплаты которые должны уже быть установлены в защищаемой ИС.

Угрозы можно классифицировать по аспекту безопасности информационных систем, по компонентам систем, по способу осуществления и по расположению источников угроз.

Аспектами информационной безопасности может быть доступность, целостность, конфиденциальность. Именно против него угрозы направлены в первую очередь.

Угрозы нацелены именно на компоненты информационных компьютерных систем. К ним можно отнести программы, данные, аппаратуру, поддерживающую инфраструктуру.

Способ существования говорит нам что угрозы могут быть не только нацеленными на результат, а могут просто быть случайными. К ним относят случайные угрозы и угрозы преднамеренные. Могут носить как природный так и техногенный характер.

И по расположению источников угрозы можно разделить на внутренние и внешние, так как они могут происходить как внутри информационной системы, так и вне ее.

1.2 Направления обеспечения ИБ

С учетом сформировавшейся практики обеспечения ИБ и в соответствии с условиями руководящих документов в области ИБ, подчеркивают такие типы защиты данных:

Правовая защита данных — защита данных правовыми методами, которая включает в себя создание нормативных и законодательных документов (актов), которые регулируют отношения субъектов по защите данных, использование таких документов (актов), а также контроль и надзор за их исполнением.

Техническая защита данных — защита данных, заключающаяся в обеспечении некриптографическими методами ИБ, подлежащих (подлежащей) защите в соответствии с функционирующим законодательством, с использованием технических, программно-технических и программных средств.

Криптографическая защита данных — защита данных с помощью ее криптографического преобразования.

Физическая защита данных — защита данных путем использования организационных мероприятий и совокупности средств, формирующих препятствия для несанкционированного проникновения или доступа неуполномоченных физ.-лиц к объекту защиты.

Организационные мероприятия по обеспечению физической защиты данных предусматривают постановку режимных, территориальных, временных, пространственных ограничений на условия применения и распорядок работы объекта защиты. При том к объектам защиты информации могут относится: здание (сооружение), охраняемая территория, отдельное помещение, информационные ресурсы и (или) информация объекта информатизации.

Организационная защита информации –регламентация деятельности компании и взаимоотношений сотрудников на нормативно – правовой базе, существенно затрудняющей или исключающей неправомерное освоение конфиденциальными данными и проявление внешних и внутренних угроз.

Только комплексное использование всех типов защиты информации обеспечивает требуемый и достаточный уровень ИБ предприятия. [6,10,21]

1.3 Вредоносное ПО

Внедрение в атакуемые системы вредоносного ПО есть опаснейший способ проведения атак. Выделяют грани вредоносного ПО, такие как вредоносная функция, способ распространения и внешнее представление. [2,15]

Можно ввести такое понятие как бомба вредоносной функции, т.е. назовем так часть, составляющую разрушительную функцию. Бомба, как и любая другая программа, может обладать сколь угодно сложной логикой, поэтому спектр вредоносных функций неограничен.

Но обычно бомбы используют для внедрения другого вредоносного ПО, агрессивного потребления ресурсов, получения контроля над атакуемой системой и изменения или разрушения программ и данных.

По механизму распространения бывают вирусы и черви.

Вирусом называют код, который может распространятся путем внедрения в другие программы.

Черви – так же код, но который самостоятельно, т.е. без внедрения в другие программы, может вызывать распространение своих копий по информационным компьютерным системам и выполнять их путем запуска заряженной программы.

Обычно вирусы распространяются локально в пределах узла сети, т.е. что бы передаваться по сети им нужна дополнительная помощь (пересылка зараженного файла), а черви, наоборот, в первую очередь распространяются по сети.

Черви так же могут, к примеру, «сесть» полосу пропускания сети и ресурсы почтовых систем, тем самым можно сказать что само распространение вредоносного ПО вызывает агрессивное потребление ресурсов и, следовательно, является вредоносной функцией.

Троянским называется вредоносный код, который выглядит как функционально полезная программа. Т.е. обычная программа, будучи пораженная вирусом, становится троянской, иногда их изготавливают вручную и подсовывают доверчивым пользователям имея привлекательный вид. [4]

Глава 2. Виды и состав угроз безопасности

2.1 Общие сведения

Под угрозой безопасности информации понимается множество факторов и условий, формирующих потенциальную или реально явную опасность нарушения ИБ. [7]

Фактор, который воздействует на защищенную информацию – это явление, процесс или действие, в результате которого возможна утечка, уничтожение защищенной информации, искажение, блокировка доступа к ней.

Источник угрозы ИБ — субъект (материальный объект, физическое лицо или физическое явление), которое является непосредственной причиной появления угрозы ИБ.

Уязвимость информационной системы (брешь)- свойство информационной системы, которая обусловливается возможностью выполнения угроз безопасности обрабатываемых в ней данных.

По отношению к информационным ресурсам и информации можно подчеркнуть угрозы конфиденциальности, целостности, доступности и достоверности информации, которые появляются в разных формах нарушений (рисунок 1.). [20]

За правилом, вышеупомянутые угрозы информационных ресурсов применяются такими способами:

1) Через существующие агентурные источники в органах муниципального управления и коммерческих структурах, содержащих возможность получения личной информации (суды, коммерческие банки, налоговые органы и так далее).

2) Посредством подкупа лиц, непосредственно которые работают в структурах или организации, напрямую связанных с ее работой.

2) Посредством перехвата данных, циркулирующих в средствах и системах связи и вычислительной технике с помощью технических средств съема и разведки информации.

4) Посредством про слушки индивидуальных переговоров и иными способами несанкционированного доступа к источникам личной информации.

Угрозы информационной

безопасности

Проявляются в нарушениях

ЦЕЛОСТНОСТИ

КОНФИДЕНЦИАЛЬНОСТИ

ДОСТУПНОСТИ

1. Разглашение
2. Утечка
3. НДС
4. Искажения
5. Ошибки
6. Потери
7. Фальсификации
8. Нарушение связи
9. Воспрещение получения

Рисунок 1. Воздействие угроз информации на критерии ИБ

ИБ проявляет воздействие на защищенность интересов в разных сферах жизнедеятельности государства и общества. В любой из них содержатся свои особенности обеспечения ИБ, которые связаны со спецификой объектов обеспеченья безопасности, ступенью их уязвимости по отношению угроз ИБ. [8,14]

К примеру, с позиции обеспечения ИБ в компьютерных системах (КС) все количество потенциальных угроз ИБ в компьютерных системах может быть поделено на два класса.

Угрозы, которые не повязаны с намеренными действиями злоумышленников и выполняются в неожиданные моменты времени, называют непреднамеренными или случайными.

Использование угроз данного класса приводит к большим потерям данных (по статистической информации — до 80% от ущерба, который нанесен информационным ресурсам компьютерных систем разными угрозами). Так же могут, выполняется уничтожения, нарушения целостности и доступности информации. Не часто нарушается конфиденциальность информации, но при этом формируются предпосылки для злоумышленного влияния на информацию.

Аварии и стихийные бедствия чреваты более разрушительными результатами для информации, так как носители данных подвергаются физическому разрушению, данные теряются или доступ к ним стает невозможен.

Отказы и сбои сложных систем неизбежны. В результате отказов и сбоев нарушается функциональность технических средств, искажаются и уничтожаются программы и данные, нарушается алгоритм работоспособности устройств. Нарушения алгоритмов работоспособности отдельных устройств и узлов могут также послужить причиной нарушения конфиденциальности информации. К примеру, отказы и сбои средств выдачи данных могут привести к неразрешенному доступу к данным путем несанкционированной ее передачи в канал связи, на устройство печати и тому подобное. [19]

Ошибки при разработке компьютерных систем, программные и алгоритмические ошибки сводятся к последствиям, схожим к последствиям (отказов и сбоев технических средств). Кроме этого, данные ошибки могут быть применены злоумышленниками для влияния на ресурсы компьютерных систем. Основную опасность представляют ошибки в операционных системах (ОС) и в программных средствах защиты данных.

Согласно информации Национального института стандартов и технологий США (NIST) 65% ситуаций нарушения ИБ появляется в результате ошибок обслуживающего персонала и пользователей. Некомпетентное, невнимательное или небрежное использование функциональных обязанностей работниками приводят к потере, нарушению конфиденциальности и целостности информации, а также компрометации механизмов защиты.

Иной класс угроз ИБ в КП составляют преднамеренно формируемые угрозы. Угрозы данного класса в согласовании с их физической сущностью и механизмами применения могут быть разбиты по пяти группам:

— универсальный или классический шпионаж и диверсии;

— несанкционированный доступ к данным;

— наводки и электромагнитные излучения;

— разновидность структур;

— вредоносное программное обеспечение.

В качестве источников ненужного воздействия на ресурсы информации по-прежнему важны средства и методы диверсий и шпионажа, которые применялись и применяются для добычи или уничтожения данных. Данные методы также эффективны и действенны в условиях использования КС. Чаще всего они применяются для получения информации о системе защиты с целью взлома системы, а также для похищения и уничтожения информационных ресурсов.

Угрозы в коммерческой деятельности также содержат личные особенности. [11,17]

По отношению к отдельной организации есть такие ключевые типы внешних угроз:

— Бесчестные конкуренты.

— Формирования и криминальные группы.

— Противозаконные воздействия иных организаций и лиц административного аппарата, также и налоговых служб.

— Нарушение введенного регламента сбора, передачи и обработки данных.

Основные типы внутренних угроз:

— Намеренные преступные воздействия личного персонала организации.

— Не намеренные действия и погрешности сотрудников.

— Отказ технических средств и оборудования.

— Сбои ПО средств обработки данных.

Внешние и внутренние угрозы очень тесно взаимодействуют. К примеру, общая тенденция криминализации хозяйственных деяний ведет к понижению морально-этических норм персонала всех рангов, зачастую толкает их на действия, которые наносят ущерб компании.

Соотношение внешних и внутренних угроз в соответствии с характерными показателями: 81,7% угроз выполняется или самим персоналом организаций, или при их прямом или опосредованном участии (внутренние угрозы); 17,3% угроз — преступные действия или внешние угрозы; 1,0% угроз — это угрозы со стороны случайных лиц.

Объектами разных угроз в коммерческой деятельности есть:

— Человеческие ресурсы (сотрудники, персонал, компаньоны и другие), включая кадровые и трудовые ресурсы.

— Материальные ресурсы.

— Финансовые ресурсы.

— Временные ресурсы.

Информационные ресурсы, которые включают интеллектуальные ресурсы (незавершенные проектно-конструкторские разработки, патенты, ноу-хау, программные продукты, массивы статистической и бухгалтерской информации и прочее).

Более опасным источником угроз компаниям является собственный персонал. Мотивами внутренних угроз в данном случае представляет собой безответственность, личные побуждения (корыстные интересы, самоутверждение), некомпетентность (небольшая квалификация). [9]

В обстоятельствах сохраняющейся большой степени монополизации русской экономики угрозу предпринимательству предполагает бесчестная конкуренция, которая представляет собой:

1) Все действия, которые ведут к тому, что потребитель может принять компанию, товары, коммерческую или промышленную деятельность этой организации за компанию, товары, коммерческую или промышленную деятельность конкурента.

2) Ложные заявления в ходе коммерческих деяний, дискредитирующие компании, товары, коммерческую или промышленную деятельность конкурента.

3) Применение в ходе коммерческих деяний обозначений или указаний, которые ведут потребителя в заблуждение касательно природы, характеристик, способа изготовления, пригодности для конкретных целей или числа товаров.

Применение угроз в этом случае понижает надежность и эффективность работоспособности организаций, а в иных случаях, приводят к завершению их деятельности из-за опасности социального, экономического, организационного, правового, экологического, информационного, криминального и технического характера. Объектами угроз могут являться элементы личного («человеческого»), вещественного, финансового, информационного и иного капитала, которые состоят в экономической основе деятельности предпринимательства.

Любая угроза несет за собой особый ущерб (потерю) — материальные или моральные, а способы по противодействию данной угрозе призваны уменьшить ее величину до применимого уровня.

Оценка вероятных ущербов (потерь) подразумевает знание типов потерь, которые связаны с предпринимательской деятельностью, и знание вычисления их возможной прогнозной величины. Есть такие типы вероятных потерь (ущербов):

1) Материальные типы потерь появляются в непредусмотренных предпринимательским проектом добавочных затратах или направленных потерь оборудования, продукции, имущества, сырья, энергии и так далее.

2) Трудовые потери — потери трудового времени, которые вызваны непредвиденными, случайными обстоятельствами; меряются в часах трудового времени. Перевод рабочих потерь в финансовое выражение выполняется путем умножения рабочего времени на стоимость (цену) одного часа.

3) Кадровые потери — потери требуемых компании высококвалифицированных, профессиональных работников; меряются в затратах на обучение и подбор нового кадрового персонала в денежном эквиваленте.

4) Финансовые потери — прямонаправленный денежный ущерб, который связан с непредвиденными платежами, уплатой дополнительных налогов, выплатой штрафов, потерей финансов и ценных бумаг.

5) Временные потери. Совершаются, когда процесс предпринимательской деятельности идет медленнее, чем должен. Прямая оценка данных потерь выполняется в часах, неделях, днях, месяцах запаздывания в получении указанного результата. Чтобы переделать оценку потери времени в финансовое измерение, требуется установить, к каким потерям прибыли, дохода способны привести утеря времени. В итоге оцениваются в денежном эквиваленте.

6) Информационные потери. Является одним из самых серьезных потерь в бизнесе, которые способны привести к провалу всей компании. Исчисляются в финансовом выражении.

7) Особые типы потерь появляются в виде нанесения убытка жизни и здоровью людей, престижу предпринимателя, окружающей среде, а также вследствие иных неблагоприятных морально – психологических и социальных последствий.

Информационный ущерб (потери) связан с наявностью в процессе предпринимательской деятельности информационного риска, введенный в общий предпринимательский риск.

Информационный риск — возможность (угроза) утери активов субъекта экономики (предпринимателя) в итоге потерь, порчи, разглашения и искажения информации.

Информационный риск классифицируется таким образом:

— риск прерывания информации (окончание нормальной обработки данных, к примеру, вследствие разрушения, вывода из строя вычислительных средств). Данная категория действий может нести очень серьезные последствия, даже когда информация при этом не подвергается никакому воздействию;

— риск кражи данных (копирование или считывание информации, кражи магнитных носителей данных и итогов печати с целью получения информации, которые в дальнейшем могут применить против интересов собственника (владельца) данных);

— риск модификации данных (ввод несанкционированных изменений в информацию, которая направленна на причинение убытка собственника (владельца) данных);

— риск уничтожения данных (необратимое изменение данных, которое приводит к неосуществимости ее применения);

— риск электромагнитного влияния и перехвата данных в автоматизированных и информационных системах (АИС);

— риск съема данных по акустическому каналу;

— риск прекращения питания автоматизированных и информационных систем и поддерживающей инфраструктуры);

— риск ошибки поставщиков и операторов информационных ресурсов автоматизированных и информационных систем;

— риск сбоев ПО в автоматизированных и информационных системах;

— риск неполадок аппаратных устройств в автоматизированных и информационных системах (в результате халатных действий персонала, природных катаклизмов, несоблюдения техники безопасности, сбоев программных средств и так далее).

В заключительном итоге все противоправные действия приводят к нарушению конфиденциальности, достоверности, доступности и целостности данных.

В этом случае, перечень угроз и источников их появления достаточно разнообразен и предложенная разновидность не есть исчерпывающей. Противодействие появлениям угроз выполняется по разным направлениям, с применением полного арсенала средств и методов защиты.

2.2 Наиболее распространенные угрозы доступности.

С точки зрения размера ущерба, нанесенного определенной компании с компьютерной информационной системой, самыми частыми и опасными являются непреднамеренные ошибки различных сотрудников компании, которые и обслуживают информационную систему. [12]

В большинстве случаев. Эти ошибки и являются угрозами. Не правильно ввели данные или сделали ошибку в программе, которая вызвала крах в системе, создает уязвимые места, которыми легко могут воспользоваться злоумышленники. Обычно это ошибки администрирования компьютерных информационных систем, которые составляют до 65% потерь.

Т.е., можно сделать вывод, что наилучшим способом борьбы с этими ошибками являются автоматизация информационных систем и жесткий контроль на предприятии.

Остальные угрозы доступности можно классифицировать по компонентам компьютерных информационных систем, на которые и нацелены угрозы. К ним можно отнести отказ смой информационной системы, также отказ пользователя ИС и отказ поддерживающей инфраструктуры.

Отказ пользователей обычно случается о нежелания работать в данной ИС – необходимость обучаться информационной системе и т.д. Сюда же можно отнести отсутствие подготовки для работы в компьютерной информационной системе – это отсутствие компьютерной грамотности, неумение работать с диагностическими сообщениями, отсутствие знаний при работе с документацией.

Так же проблемой отказа пользователя от работы в информационной системе может быть распространенный недостаток – отсутствие технической поддержки по данной ИС, т.е. не полная документация, отсутствие справочной информации, отсутствие горячей линии ля информационных систем глобального и сложного характера и т.д.

К внутренним отказам можно отнести отступление от установленных правил эксплуатации, которое может быть как случайное, так и умышленное. Также из-за случайных или преднамеренных действий пользователей или персонала, обслуживающего информационную компьютерную систему, может выйти система из штатного режима эксплуатации. Примерами может быть превышение числа запросов в ИС, слишком большой обьем обрабатываемой информации и т.п.

К источникам внутренних отказов ИС так же можно отнести ошибки при конфигурации или переконфигурации системы, отказ как программного, так и аппаратного обеспечения, разрушение данных информационной системы, также повреждение или вообще разрушение аппаратуры.

По отношению к поддерживаемой инфраструктуре информационных компьютерных систем можно отнести угрозы нарушение, как случайного, так и умышленного, систем связи, теплоснабжения, водоснабжения, кондиционирования, электропитания и т.д. [18]

Так же к этим угрозам рекомендуемо относить разрушение и повреждение помещений, а так же угрозы связанные с обслуживающим персоналом и/или пользователей, связанные с невозможностью или нежеланием исполнять свои же обязанности. Это террористические акты или их угроза, забастовки, революции и т.д.

К одним из самых опасных угроз можно отнести так называемые «обиженные» сотрудники как нынешние, так и бывшие. Обычно они стремятся нанести предприятию какой-либо вред – испортить оборудование, запустить вирус, удалить данные и т.п.

Обиженные сотрудники хорошо знакомы с порядками компании и способны нанести любой всевозможный вред. Т.е. важно следить,что бы ри увольнении сотрудников его права доступа к информационным ресурсам предприятия анулировались.

2.3 Некоторые примеры угроз доступности

Примерами таких угроз являются популярны и очень вредоносные угрозы как грозы, электромагнитные импульсы высоких напряжений, отказы систем кондиционирования, протечки систем водоснабжения, теплоснабжения и канализации. [12]

Агрессивное потребление ресурсов, таких как вычислительные возможности процессора или оперативной памяти, полосы пропускания сетей и т.п., является средством вывода системы из штатного режима эксплуатации. Такое потребление можно разделить по расположению источника на локальное и удаленное. К примеру, локальная программа при просчетах в конфигурации системы способна монополизировать процессор и/или физическую память, сведя скорость выполнения других программ к нулю.

Если пропускная способность канала до цели атаки превышает пропускную способность атакующего, то традиционная атака типа «отказ в обслуживании» не будет успешной. Распределенная ж атака в свою очередь происходит уже сразу с нескольких точек Интернета, что приводит к введению атакуемого узла из строя из-за резкого возрастания трафика. Т.е. злоумышленник может со всех узлов, задействованных в атаке, послать большой объем данных. И узел не сможет обрабатывать запросы от нормальных пользователей из-за превышения трафика.

2.4 Основные угрозы целостности

На втором месте по размерам ущерба стоят кражи и подлоги. В 1992 году в результате подобных противоправных действий с использованием персональных компьютеров американским организациям был нанесен общий ущерб в размере 882 миллионов долларов. Многие организации по понятным причинам скрывают такие инциденты; не вызывает сомнений, что в наши дни ущерб от такого рода действий вырос многократно, поэтому можно предположить, что реальный ущерб был намного больше. [13]

Обычно виновниками оказывались штатные сотрудники организаций, которые хорошо знакомые с режимом работы и мерами защиты, что подтверждает опасность внутренних угроз.

Нарушение статической целостности злоумышленник (чаще всего штатный сотрудник) может ввести неверные данные или изменить данные, когда изменяются содержательные данные, когда – служебная информация.

Угрозой целостности является фальсификация или изменение данных, а также отказ от совершенных действий. Компьютерные данные не могут рассматриваться в качестве доказательства, если нет средств обеспечить «неотказуемость». Не только данные, но и программы являются потенциально уязвимы с точки зрения нарушения целостности.

2.5 Основные угрозы конфиденциальности

Саму информацию конфиденциальности можно разделить на служебную и предметную. Служебная информация (к примеру, пароли пользователей) в компьютерной информационной системе играет техническую роль, но раскрытие ее является более опасной, из-за получения с ее помощью несанкционированного доступа ко всей информации системы,в том числе и предметной, т.к. в общем она не относится к определенной предметной области. [12]

Угрозы конфиденциальности информации могут носить некомпьютерный и вообще нетехнический характер даже если информация хранится в компьютере или предназначена для компьютерного использования.

К перехвату данных можно отнести прослушивание или подслушивание разговоров, изучение рабочего места, пассивное прослушивание сети и анализ каких-либо памятных дат и последовательностей.

К подмене данных относится использование страховых копий. На основных носителях для защиты данных используют развитые системы управления доступом, но за копии, которые нередко просто лежат где-угодно никто не заботится и многие могут получить к ним доступ.

Значимой и распространенной угрозой является кража оборудования, часто возникает из-за нахождения без присмотра ноутбуков и хендлетов, резервных носителей на работе или в автомобиле, которые просто теряются.

Так же распространённой угрозой являются методы морально-психологического воздействия (маскарад) – выполнение действий под видом лица, обладающего полномочиями для доступа к данным.

Неприятными угрозами, от которых трудно защитится являются злоупотребление полномочиями. К примеру, системный администратор способен прочитать любой файл, получить доступ к почте любого пользователя и т.д., также возможно нанесение ущерба при сервисном обслуживании, т.к. сервисный инженер получает неограниченный доступ к оборудованию и имеет возможность действовать в обход программных защитных механизмов.

2.6 Статистика угроз безопасности

На рисунках 2 и 3 приведены диаграммы средней статистики угроз безопасности информационных систем (2015). [14]

Рисунок 2. Угрозы безопасности

Рисунок 3. Угрозы безопасности

ЗАКЛЮЧЕНИЕ

В данной работе была описана значимая часть информационной безопасности – угрозы. Описаны понятия и виды угроз безопасности в компьютерных информационных системах.

ИБ относится к числу направлений деятельности, которые развиваются очень быстрыми темпами. Этому способствуют как общий прогресс информационных технологий, так и постоянное противоборство между теми, кто хочет добыть конфиденциальные данные и желающими ее сберечь.

Опыт показывает, что для достижения действующих решений по защите информации требуется сочетание правовых, технических и организационных мероприятий. То есть обеспечение защиты данных и в целом ИБ нынешних ИС нуждается в комплексном подходе. Оно невозможно без использования обширного спектра защитных средств, которые объединены в обдуманную архитектуру

В данных условиях положение по отношению к защите данных должна быть очень динамичной. Теоретические воззрения, стандарты, сложившиеся порядки требуется всегда сверять с условиями практики. От вероятных атак на информацию не защититься без целенаправленной и систематической работы в этом направлении. Настоящее состояние безопасности нуждается в каждодневном внимании всех заинтересованных сторон.

В работе описали определения и критерия классификации угроз, проанализировали наиболее распространенные угрозы доступности с примерами, описали угрозы вредоносного ПО, рассмотрели основные угрозы целостности и конфиденциальности.

Также наведена статистика угроз безопасности в 2015 г. в России.

Вкратце угрозы можно изобразить на ниже приведенном рисунке 4.

Рисунок 4. Угрозы информационной безопасности

СПИСОК ИСПОЛЬЗУЕМОЙ ЛИТЕРАТУРЫ

1. Алексенцев А.И. Понятие и структура угроз защищаемой информации // Безопасность информационных технологий, № 3, 2000.
2. Бачило И.Л. Информационное право: основы практической информатики. Учебное пособие. – М: 2001. – 352 с.
3. Башлы П.Н. Информационная безопасность. Учебное пособие. Ростов н/Д: Феникс, 2006. – 253 с.
4. Вихорев С.В. Сетевые атаки и системы информационной безопасности 2001 // Cnews.ru, 2002 г.
5. Галатенко В.А. Основы информационной безопасности. Курс лекций. Учебное пособие. Третье издание.- М.: ИНТУИТ.РУ, 2006.- 208 с.
6. Герасименко В.А. Защита информации в АСОД (в двух частях). – М.: Энергоатомиздат, 1994.
7. ГОСТ 28147-89. Системы обработки информации. Защита криптографическая. Алгоритмы криптографического преобразования.
8. ГОСТ 34.10-94. Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма.
9. Грибунин В.Г., Чудовский В.В. Комплексная система защиты информации на предприятии. Учебное пособие для студентов вузов. – М.: «Академия», 2009. – 416 с.
10. Девянин П.Н. и др. Теоретические основы компьютерной безопасности. Учебное пособие для студентов вузов. – М.: «Радио и связь», 2000. – 192 с.
11. Доктрина информационной безопасности Российской Федерации.
12. Журавленко Н.И., Кадулин В.Е., Борзунов К.К. Основы информационной безопасности: Учебное пособие.- Уфа: РИЦ БашГУ, 2007.-182 с.
13. Завгородний В.И. Комплексная защита информации в компьютерных системах: Учеб. пособие. – М.: Логос, 2001. – 264 с.
14. Зегжда Д., Ивашко А. Основы безопасности информационных систем.
15. Каторин Ю.Ф. и др. Большая энциклопедия промышленного шпионажа. – СПб.: «Издательство Полигон», 2000. – 896 с.
16. Малюк А. А. Информационная безопасность: концептуальные и методологические основы защиты информации. Учебное пособие.- М.: Горячая линия-Телеком, 2004.- 280 с.
17. Милославская Н.Г., Толстой А.И. Интрасети: обнаружение вторжений. Учеб. Пособие для вузов. – М.: ЮНИТИ-ДАНА, 2001. – 587 с.
18. Партыка Т.Л., Попов И.И. Информационная безопасность. Учебное пособие для студентов учреждений среднего профессионального образования. – М.: ФОРУМ: ИНФРА-М, 2002. – 386с.
19. Садердинов А. А. и др. Информационная безопасность предприятия. Учеб. пособие Дашков и К, 2004.-336 с.
20. Филин С.А. Информационная безопасность. Учебное пособие. – М.:Альфа – Пресс, 2006. – 412 с.
21. Ярочкин В.И. Информационная безопасность. – М: «Гаудеамус», 2004. – 543 с.

Риски ИС и безопасность: риск менеджмент

Стоит отметить, что информационные технологии представляют собой целую систему дисциплин, благодаря которым можно изучить методы, предназначенные для эффективной организации работы сотрудников, которые занимаются обработкой и хранением важной для бизнеса информации. Также к категории информационных технологий можно отнести способы организации и взаимодействия специалистов предприятия, вычислительную и компьютерную технику, целый ряд экономических и социальных факторов в компании. Если использовать более узкое понятие информационных технологий, то оно подразумевает под собой целый комплекс методов, а также структуру производственного процесса, программных, технических средств, которые представляют собой технологическую цепочку. С ее помощью осуществляется сбор, хранение, а также обработка, передача и обмен информации. Это позволяет снизить трудоемкость использования информационных ресурсов компании и обеспечить эффективную защиту имеющихся данных.

И теперь следует понять, что представляют собой ИТ риски. Понятие рисков информационных технологий подразумевает под собой возможность появления негативных последствий, связанных с возникновением различных угроз. Они представлены в виде вирусов, разнообразных методов хищения информации, хакерских атак, различных видов специального уничтожения оборудования. Такие варианты могут возникать не только на этапе создания информационных технологий. Их можно встретить уже в процессе эксплуатации созданной системы.

Когда осуществляется проектирование, разработка или внедрение и модернизация информационных систем, возникновение ИТ рисков можно спровоцировать целым рядом факторов, которые связанны с данной системой. К ним можно отнести:

• выбор неправильного решения, направленного на автоматизацию;
• ошибки в проектной деятельности;
• несоответствия инфраструктуры и принятого решения по автоматизации;
• ошибки при установке какой-либо системы.

При эксплуатации информационной системы следует учитывать такой перечень факторов, препятствующих достижению желаемых целей:

• малоэффективное взаимодействие таких структур, как бизнес и ИТ, когда нужно определить оптимальный уровень поддержки;
• слабый потенциал применения имеющихся технологий;
• невозможность собственными силами обеспечить должный уровень сопровождения и всестороннего развития систем;
• ошибки, связанные с развитием информационных технологий.

Для предупреждения появления подобных угроз предприятия создают комплексные системы, интегрирующие так называемый риск-менеджмент. А также внутренний контроль и аудит, выполняемый в виде основной деятельности или в качестве средства поддержки информационных технологий. Важно понимать, что наиболее зрелая ИТ система имеет минимальные риски в ИТ сфере. Соответственно, эффективность использования ИТ здесь на уровень выше.

Классификация ИТ рисков

Стоит понимать, что риск – это вид деятельности, выполняемый в интересах руководства компании. Такие работы позволяют собирать свидетельства аудита, оценивать степень их соответствия тем критериям, которые были разработаны при независимой оценке уровня ИТ-рисков. Также это дает возможность составить рекомендации, связанные с их минимизацией.

Классификация рисков информационных технологий

Перечень здесь достаточно широкий. Сюда стоит отнести риск внутреннего контроля, информационной безопасности, операционный бизнес риск, персонала и IT проекта.

Автоматизация деятельности компании или даже отдельного процесса – это эффективный инструмент, позволяющий выполнять управление рисками в ИТ проектах. Но, как показывает практика, ожидания многих руководителей не оправдываются.

Почему же так происходит, и почему не удается достичь результатов качественного и эффективного планирования? Основная причина заключается в том, что успешная реализация проектной деятельности следует только после грамотного и четкого планирования. Уже начальный уровень каждого проекта должен показать, насколько сложной должна быть поставленная задача и ее реализация. 

Второй немаловажный фактор – это компетентность и профессионализм сотрудников. Даже если в какой-то сфере ваш сотрудник не является профи, он должен уметь быстро обучаться.

Риски ИТ проектов в области исполнения

Это категория, которая связана с непосредственным исполнением проекта. Такие риски ИТ проектов могут быть самые разнообразные, но в любом случае они представляют собой общий результат деятельности заказчика и исполнителя. Также есть еще одна классификация рисков ИТ проекта – это все вопросы, которые касаются информационной безопасности. Именно поэтому для управления и ведения всеми категориями рисков компания выбирает только тех участников, которым она действительно доверяет.

Типичные для ИТ-проектов риски

Для каждого проекта может быть свой перечень рисков, и обычно он включает в себя от 10 до 20 различных факторов. Классификация рисков обычно имеет пять основных практически для всех проектов. Это внутренние недочеты планирования, изменения требований, постоянные изменения в кадрах, невысокая производительность и нарушение спецификации.

Первый вариант можно отнести к тому, что возникают недочеты самого процесса планирования средств и времени. Такие ошибки обычно основываются на требованиях заказчика, которые не всегда соответствуют реальным затратам времени. Обычно перерасход составляет до 80%.

Изменение требований очень часто являются той категорией, когда в процессе реализации проекта появляются новые требования заказчика. И даже если исполнитель отбрасывает в сторону те проекты, которые уже выполнены, он тратит время на выполнение новых. Для управления рисками компания-разработчик продумывает все, чтобы размер таких изменений составлял не более одного процента.

Еще один вариант рисков – это текучесть кадров. Такой риск подразумевает, что только что нанятому сотруднику придется потратить определенный период времени на то, чтобы достичь необходимой производительности. И чем сложнее уровень проекта, тем дольше придется новому сотруднику обучаться и вливаться в общую систему.

Такое присутствие, как нарушение спецификаций, представляет собой деструктивную составляющую для проекта. Это очень серьезная проблема, которая возникает по вине исполнителя. Она может проявить себя в двух случаях: когда исполнитель перегружает продукт различными ненужными функциями, или старается выдать желаемое за действительное.

Низкая производительность – это категория рисков, для возникновения которой нужно появление всего лишь одного незначительного риска или фактора, влияющего на его появление. В больших компаниях, где для полноценного процесса принимают участие сразу несколько специалистов или целых отделов, спад производительности работы одного сотрудника может компенсироваться увеличением энтузиазма другого специалиста. Небольшие организации, имеющего одного сотрудника, который работает в области информационных технологий, снижение его активности становится очень заметным и ущемляет интересы руководства и компании в целом.

Управление рисками в ИТ. Risk IT

Концепция и понятия того, что представляет собой Risk IT

Основным объектом в такой методологии является ИТ-риск. Его можно определить как бизнес риски, связанные с применением, владением, влиянием ИТ на сам бизнес, а также уровень его влияния на использование в организации.

Risk IT имеет несколько базовых принципов.

В первую очередь управление рисками ИТ проекта всегда связывается с целями предприятия (его деятельности). Соответственно, это лишь разновидность бизнес риска, при этом процесс управления рисками в ИТ дает возможность получить эффективный результат для компании. Анализ ИТ рисков показывает зависимость процесса в бизнесе от ресурсов информационных технологий. Кроме того, управление не только не затормаживает бизнес, а способствует его развитию.

Управление ИТ-рисками обязательно согласовывается с корпоративной общей системой управления всеми рисками. В данном случае определяются размеры, цели бизнеса, при этом они становятся не аморфными понятиями, а четко выверенными величинами. Все виды корпоративных процессов, связанные с принятием решений, охватывают все имеющиеся последствия. Проблемы организации, которые связанные с ИТ-рисками, формируются на уровне всего масштаба предприятия. Также назначаются уполномоченные лица, которые принимают решения, напрямую связанные с возникновением рисков.

Стоит отметить, что в данном случае можно уравновесить преимущества, которые возникают от управления рисками, а также различными сопутствующими затратами. Здесь используется приоритетное отношение, при этом реализуются средства для управления. Они основаны на анализе осуществляемых затрат и полученных выгод. Дополнительно усиливаются все необходимые средства, чтобы появилась возможность наиболее эффективно управлять всеми ИТ-рисками.

Также благодаря такой деятельности появляется возможность открыто обсуждать имеющиеся разновидности рисков. То есть, обмен информации по данному поводу происходит быстро, четко и максимально прозрачно (даже если учитывать такой продукт, как 1С). А все решения основываются именно на такой информации. Кроме того, все решения технического характера тоже переводятся на понятный для участников бизнеса язык.

Результативный вариант управления ИТ рисками позволяет появляться постоянным улучшениям. При этом он является частью жизненного цикла и повседневной деятельности компании.

Управление рисками ИТ-проектов

Очень важно для каждого предприятия правильно адаптироваться к внешнему окружению, а также к изменениям, которые в нем происходят. В рамках управления рисками выполняются такие базовые задачи, как управление рисками всей без исключения проектной деятельности. Также такие работы называют рисками проекта.

Чтобы определить финансовые потребности, заключить контракт, подготовить смету или бюджет, необходимо защитить участников любой проектной деятельности от разнообразных видов рисков. При этом очень важным моментом является достижение результатов и определенных целей. Для внедрения проекта действует полномочный орган, специальный менеджер, руководство. Также это могут быть и другие участники какого-либо проекта, выполняющие специфические работы или участвующие в определенном направлении проекта.

В качестве частичной занятости работы по проекту выполняют сотрудники отдельных подразделений других компаний, которые занимаются специфическим видом деятельности. Они отвечают за определенные функции, задачи или решения.

Чтобы понять, что представляет собой понятие управления рисками, необходимо выяснить, что подразумевается под таким определением, как риски ИТ проектов. Риск – это возможное событие, которое с хорошей или с плохой стороны может повлиять на проект.

Важно понимать, что у рисков есть вероятность. Если какое-то событие должно случиться гарантировано, то это нельзя считать риском. Также нужно понимать, что он может иметь положительное и отрицательное влияние. К группе отрицательных факторов можно отнести такой момент, когда из команды уходит специалист или сразу несколько сотрудников. Положительным моментом может быть появление нового эксперта. В процессе планирования рисков очень важно снизить вероятность возникновения отрицательных рисков, и увеличить – положительных.

Очень часто считают, что к идентификации рисков привлекаются абсолютно все сотрудники и даже сторонние специалисты. Действительно для самостоятельного решения проблемы ограничиваться собственными силами не стоит – необходимо сотрудничать с различными экспертами, представителями других компаний, инвесторами. В первую очередь проводится анализ документов. В документации имеется большое количество информации, которые позволяют составить выводы о предполагаемых рисках. Второй источник получения информации – это совещания, интервью и другие способы. При планировании встреч, совещаний, интервью нужно детально обсуждать и предполагаемые, и текущие риски.

После идентификации рисков можно получить возможность выявлять угрозы проекта. Для хранения информации можно использовать таблицы, которые закрываются после завершения проекта. В такой таблице описывают сам риск и ответственное за него лицо, которое предпринимает определенные меры при наступлении риска.  Ответственным лицом может быть и сотрудник компании, и внештатный специалист. Важно, чтобы он не забывал описывать все риски и предпринимать меры для его решения.

К смешанной категории рисков можно отнести риск невостребованной производимой продукции. Он может быть связан как с внутренними, так и с внешними причинами. Так, существует несколько основных факторов:

• безграмотная организация производства;
• особые производственные условия;
• неправильное руководство предприятием;
• отсутствие спроса на продукцию;
• низкая платежеспособность покупателя;
• повышение ставок по вкладам.

Также существуют так называемые социокультурные риски. Данная категория рисков связана с социальными, культурными нормами, целым рядом политических факторов, экономическими отношениями. Важно понимать, что геополитические риски возникают чаще между отдельными государствами из-за различий в политической и экономической системе. Это напрямую влияет на налоговое законодательство, на импорт и экспорт, политические и военные конфликты между государствами.

Категория юридических рисков возникает тогда, когда вступают в действие законы, предписания, договоры, контракты. Также существует вариант рисков окружающей среды. Чаще всего они появляются при осуществлении различных инновационных проектов. При этом внутри государства повлиять на течение таких рисков практически невозможно.

Оценка рисков IT проекта предполагает выполнения нескольких этапов. И в первую очередь это получение и качественная обработка информации. Оценка рисков ИТ проекта предполагает определенные требования к качеству получаемой информации. Она должна быть достоверной, полной, объективной, актуальной и значимой. Самым достоверным видом информации является документированная информация. С ее помощью можно выявить все категории потенциальных рисков. При этом исследуются технические документы, первичная документация, финансовые отчеты, управленческие решения, статистические и бухгалтерские данные. Кроме того, может оцениваться такой вид информации, как результаты инспекционных проверок различных подразделений организации.

Качественный анализ рисков ИТ проектов представляет собой субъективную оценку обнаруженных рисков. Соответственно, нужно понять, как тот или иной риск может представлять угрозу для всего проекта. Один из самых популярных методов, который выявляет группы рисков в ИТ – это оценка по двум основным показателям: вероятность и влияние. Значения для них можно задать в трех категориях: низкое, среднее и высокое. Благодаря такой градации можно определить, какие риски требуют безотлагательного решения и вмешательства, и с какими можно работать потом.

Данная классификация рисков дает возможность определить общий уровень, который выявляет все IT риски. Когда анализ будет завершен, в качестве результатов можно представить принцип светофора. Красный цвет будет говорить о том, что влияние рисков для проекта является катастрофическим, желтый – умеренным, зеленый – низким. Также оценка ИТ рисков может быть объективной и выполненной в виде количественного анализа. Но при этом такие мероприятия осуществляются только в тех проектах, уровень которых является значимым.

Анализ управления рисками предполагает такие методики управления рисками в ИТ, как сбор всех необходимых мнений экспертов, оценка стоимости риска. При этом количественную оценку вероятности риска умножают на влияние такого риска. К такому способу, например, можно прибегнуть, если необходимо сравнить несколько возможных сценариев. При этом каждый из них является альтернативным.

Еще одним важным нюансов для рисков является стратегия, которая может быть представлена в четырех видах, как для положительных, так и для отрицательных рисков. Если говорить о стратегии нивелирования и использования, то с ее помощью можно устранить главную причину риска. Например, когда сотрудник не может справиться со своими обязанностями, его заменяют на более опытного и профессионального специалиста.

При стратегии переноса и разделения управление ИТ проектами предоставляется субподрядчику или страховой компании. Риски в ИТ проектах в данном случае всей ответственностью ложатся на третье лицо. Классификация рисков ИТ проекта в третьем варианте стратегии может подразумевать под собой такие понятия, как ослабление и усиление. Одной из ее основных целей является изменение имеющихся рисков (их вероятности или влияния). Например, если сотрудник не справляется с поставленной задачей в 1С, для таких работников предприятия проводят специальные тренинги.

К стратегии, предполагающей принятие, можно отнести вариант, когда руководство и ответственные лица в случае, когда возникает риск менеджмент в ИТ, бездействуют и смиряются с возникшими «непреодолимыми» обстоятельствами. Несмотря на то, что такая стратегия является пассивной, она тоже может присутствовать в деятельности компании. Ведь некоторые виды рисков проще игнорировать и принять, чем выполнять действия по их устранению. Например, можно уволить нерадивого сотрудника, который был ответственен за какой-либо проект, но при этом не принимать решений по завершению такого проекта более опытным и квалифицированным специалистом.

Управление рисками при внедрении ИТ-проектов

Стоит отметить, что управление рисками, классификация рисков – это очень важная часть  деятельности компании в целом и того раздела, который касается информационных технологий и информационных систем в частности. Такая деятельность определяет, оценивает, контролирует эффект, возникающий вследствие влияния внутренних и различных внешних факторов. Получается, что точная карта ИТ рисков дает возможность заблаговременно определить факторы, связанные с внедрением информационных систем. При этом полученная информация будет полезна на протяжении всего жизненного цикла предприятия.

Кроме того, очень важно, что риски в ИТ разбивались на несколько отдельных программ. В то же время для управления всей системой нужен один человек, например, директор программы, который будет контролировать все происходящее и управлять рисками в целом.

Методики управления рисками в ИТ могут быть весьма специфическими, поэтому следует привлекать специалистов, которые разбираются в управлении, а не тех, кто имеет узкую специализацию. Оценка рисков ИТ проекта может иметь положительный результат только в том случае, если фирма не ограничивается своими силами, а использует все доступные ресурсы. Например, можно привлекать сторонних специалистов или организации, выполняющие работы в данном направлении профессионально. Дело в том, что управление рисками, выполняемое теми специалистами, которые были задействованы в разработке и реализации проекта, может быть неэффективным. Так как такие люди могут не принять всю серьезность ситуации возникших рисков, например, если произошел сбой в программе 1С.  

Немного о процессах анализа и управления рисками

Риск менеджмент ИТ – это тот риск, который связан с применением различных информационных систем. Также его можно связывать с применением информационных технологий, которые в свою очередь можно связывать с качеством управления субъекта, ведь модель информационных технологий дает возможность понять, насколько эффективным является управление и реализация проектов.

Риски ИТ проектов примеры могут иметь совершенно разные – все зависит от направленности предполагаемого проекта, вариантов его решения, реализации отдельных направлений каждого уровня проекта.

Сегодня в век информационных технологий использование различных информационных систем приобретает массовый характер. В то же время неуправляемые системы могут повлечь за собой очень серьезные риски, с которыми справиться самостоятельно практически невозможно. Риск менеджмент ИТ решений – это тот вариант, когда справиться с возникшими трудностями можно структурировано и грамотно. При этом учитывается все: полученная информация из документов, выводы результатов интервьюирования, собеседований, совещаний, тренингов, анализов финансовой составляющей компании.

Риски IT проекта примеры. Если это технологические риски, то это может быть база данных, не обеспечивающая в необходимых объемах обработку информации. Также могут быть такие ИТ риски примеры, когда невозможно подобрать профессиональных сотрудников, ведущие специалисты уходят на больничный или нет возможности организовать для сотрудников обучение для повышения квалификации. Все это относится с рискам, связанных с персоналом. Кроме того, они могут быть организационные, системные, инструментальные и многие другие.

Раздел
1

Концепция
информационной безопасности

Лекция 4

1.3

 Угрозы безопасности информации

План лекции

1.       Основные определения

2.       Критерии классификации угроз

3.       Источники угроз

1. Основные определения

Угроза – это
потенциальная возможность определенным образом нарушить информационную
безопасность.

Попытка
реализации угрозы называется атакой, а тот, кто предпринимает такую попытку, – злоумышленником.
Потенциальные злоумышленники называются источниками угрозы.

Показатель,
характеризующий безопасность информации при воздействии различных факторов
опасности, – это критерий безопасности.

Чаще всего угроза является
следствием наличия уязвимых мест в защите информационных систем (таких,
например, как возможность доступа посторонних лиц к критически важному
оборудованию или ошибки в программном обеспечении).

Промежуток
времени от момента, когда появляется возможность использовать слабое место, и
до момента, когда пробел ликвидируется, называется окном опасности, ассоциированным
с данным уязвимым местом. Пока существует окно опасности, возможны успешные
атаки на ИС.

Если
речь идет об ошибках в программном обеспечении, то окно опасности
«открывается» с появлением средств использования ошибки и
ликвидируется при наложении заплат, ее исправляющих.

Для
большинства уязвимых мест окно опасности существует сравнительно долго
(несколько дней, иногда – недель), поскольку за это время должны произойти следующие
события:

·                     
должно стать известно о средствах использования
пробела в защите;

·                     
должны быть выпущены соответствующие заплаты;

·                     
заплаты должны быть установлены в защищаемой ИС.

Новые
уязвимые места и средства их использования появляются постоянно; это значит,
во-первых, что почти всегда существуют окна опасности и, во-вторых, что отслеживание
таких окон должно производиться постоянно, а выпуск и наложение заплат – как
можно более оперативно.

Некоторые
угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют
в силу самой природы современных ИС. Например, угроза отключения электричества
или выхода его параметров за допустимые границы существует в силу зависимости
аппаратного обеспечения ИС от качественного электропитания.

Рассмотрим
наиболее распространенные угрозы, которым подвержены современные информационные
системы. Иметь представление о возможных угрозах, а также об уязвимых местах,
которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать
наиболее экономичные средства обеспечения безопасности. Слишком много мифов
существует в сфере информационных технологий (вспомним все ту же «Проблему
2000»), поэтому незнание в данном случае ведет к перерасходу средств и,
что еще хуже, к концентрации ресурсов там, где они не особенно нужны, за счет
ослабления действительно уязвимых направлений.

Само
понятие «угроза» в разных ситуациях зачастую трактуется по-разному.
Например, для подчеркнуто открытой организации угроз конфиденциальности может
просто не существовать — вся информация считается общедоступной; однако в
большинстве случаев нелегальный доступ представляется серьезной опасностью.
Иными словами, угрозы, как и все в ИБ, зависят от интересов субъектов
информационных отношений (и от того, какой ущерб является для них неприемлемым).

2. Критерии классификации угроз

Угрозы можно классифицировать по нескольким критериям:

·               
по аспекту информационной
безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены
в первую очередь;

·               
по компонентам информационных
систем, на которые угрозы нацелены
(данные, программы, аппаратура, поддерживающая инфраструктура);

·               
по способу осуществления (случайные/преднамеренные,
действия природного/техногенного характера);

·               
по расположению источника угроз (внутри/вне
рассматриваемой ИС).

Рисунок 1.
Критерии классификации угроз

В качестве основного критерия чаще используется
первый (по аспекту ИБ), привлекая при необходимости
остальные.

Рассмотрим подробнее каждый вид угроз.

· Угрозы
нарушения конфиденциальности направлены на получение (хищение) конфиденциальной
информации. При реализации этих угроз информация становится
известной лицам, которые не должны иметь к ней доступ. Несанкционированный доступ к информации, хранящейся в информационной
системе или передаваемой по каналам (сетям) передачи данных, копирование этой информации является нарушением
конфиденциальности информации.

Информация в зависимости от категории доступа к ней
подразделяется на общедоступную информацию, а также на информацию,
доступ к которой ограничен федеральными законами (информация
ограниченного доступа).

В соответствии с требованиями федеральных законов
обязательность соблюдения конфиденциальности касается только информации
ограниченного доступа, к которой относится информация, представляющая государственную
тайну, а также конфиденциальная информация (сведения, составляющие
коммерческую, банковскую, служебную, профессиональную тайну, содержащие персональные
данные и т.д.).

Обладателем информации является лицо,
самостоятельно создавшее информацию либо получившее на основании закона или
договора право разрешать или ограничивать доступ к информации, определяемой по
каким-либо признакам. Обладателем информации может быть гражданин (физическое
лицо), юридическое лицо, Российская Федерация, субъект Российской Федерации,
муниципальное образование. Именно обладатель информации вправе разрешать или
ограничивать доступ к информации, определять порядок и условия такого доступа,
передавать информацию другим лицам по договору или на ином установленном
законом основании, а также он обязан ограничивать доступ, если такая
обязанность установлена федеральными законами.

Информация ограниченного доступа должна храниться только
как документированная информация, то есть информация должна быть зафиксирована
на материальном носителе путём документирования и иметь реквизиты, позволяющие
определить такую информацию или, в установленных законодательством Российской
Федерации случаях, её материальный носитель.

Сведения, отнесенные к государственной тайне,
по степени секретности подразделяются на

—       
сведения особой важности,

—       
совершенно секретные и

—       
секретные.

К сведениям
особой важности следует
относить сведения в области военной, внешнеполитической, экономической,
научно-технической, разведывательной, контрразведывательной и
оперативно-розыскной деятельности, распространение которых может нанести ущерб
интересам Российской Федерации в одной или нескольких из перечисленных
областей.

К совершенно
секретным сведениям следует
относить сведения в области военной, внешнеполитической, экономической,
научно-технической, разведывательной, контрразведывательной и
оперативно-розыскной деятельности, распространение которых может нанести ущерб
интересам министерства (ведомства) или отрасли экономики Российской Федерации в
одной или нескольких из перечисленных областей.

К секретным
сведениям следует относить
все иные сведения из числа сведений, составляющих государственную тайну.
Ущербом безопасности Российской Федерации в этом случае считается ущерб,
нанесённый интересам предприятия, учреждения или организации в военной,
внешнеполитической, экономической, научно-технической, разведывательной,
контрразведывательной или оперативно-розыскной области деятельности.

К сведениям конфиденциального характера относятся:

1. Сведения о фактах, событиях и обстоятельствах
частной жизни гражданина, позволяющие идентифицировать его личность
(персональные данные), за исключением сведений, подлежащих распространению в средствах
массовой информации в установленных федеральными законами случаях.

2. Сведения, составляющие тайну следствия и
судопроизводства.

3. Служебные сведения, доступ к которым ограничен
органами государственной власти в соответствии с Гражданским кодексом
Российской Федерации и федеральными законами (служебная тайна).

4. Сведения, связанные с профессиональной
деятельностью, доступ к которым ограничен в соответствии с Конституцией
Российской Федерации и федеральными законами (врачебная, нотариальная, адвокатская
тайна, тайна переписки, телефонных переговоров, почтовых отправлений,
телеграфных или иных сообщений и так далее).

5. Сведения, связанные с коммерческой
деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом
Российской Федерации и федеральными законами (коммерческая тайна).

6. Сведения о сущности изобретения, полезной модели
или промышленного образца до официальной публикации информации о них.

Под коммерческой тайной понимается
конфиденциальность информации, позволяющая её обладателю при существующих или
возможных обстоятельствах увеличить доходы, избежать неоправданных расходов,
сохранить положение на рынке товаров, работ, услуг или получить иную
коммерческую выгоду.

К информации, составляющей коммерческую тайну, относится научно-техническая, технологическая, производственная,
финансово-экономическая или иная информация, в том числе составляющая секреты
производства (ноу-хау), которая имеет действительную или потенциальную
коммерческую ценность в силу неизвестности её третьим лицам, к которой нет
свободного доступа на законном основании и в отношении которой обладателем
такой информации введен режим коммерческой тайны (правовые, организационные,
технические и иные принимаемые обладателем информации, составляющей
коммерческую тайну, меры по охране ее конфиденциальности).

К персональным данным относится любая информация,
относящаяся к определённому или определяемому на основании такой информации
физическому лицу (субъекту персональных данных), в том числе его фамилия, имя,
отчество, год, месяц, дата и место рождения, адрес, семейное, социальное,
имущественное положение, образование, профессия, доходы, другая информация.

К угрозам, создающим опасность конфиденциальности
информации, относится утечка информации, под которой понимается
неконтролируемое распространение защищаемой информации в результате её
разглашения, несанкционированного доступа к ней или получения защищаемой
информации иностранными разведками и другими заинтересованными субъектами
(заинтересованными субъектами могут быть: государство, юридическое лицо, группа
физических лиц, отдельное физическое лицо).

Очевидно, данное определение не в полной мере
отражает основные формы утечки информации. Классификация угроз
конфиденциальности информации (утечки информации) представлена на рисунке.

Рисунок 2.  Классификация угроз конфиденциальности информации (утечки
информации)

Разглашение сведений ограниченного доступа может
произойти или в форме несанкционированного предоставления информации, или в
форме несанкционированного распространения информации.

Под несанкционированным предоставлением
информации будем понимать противоправное предание огласке сведений
ограниченного доступа, при котором они стали достоянием определённого круга
посторонних лиц, а под несанкционированным распространением информации —
противоправное предание огласке сведений ограниченного доступа, при котором они
стали достоянием неопределённого круга посторонних лиц.

Разглашение сведений ограниченного доступа может
произойти как преднамеренно (при прямом умысле), так и непреднамеренно (по неосторожности).

В случае преднамеренного разглашения сведений
ограниченного доступа лицо, которому информация ограниченного доступа была
доверена или стала известна по службе или работе, сознавая неправомерность
своих действий, связанных с разглашением этой информации, предоставляет или
распространяет её посторонним лицам. В этом случае субъективная сторона
разглашения сведений характеризуется виной в форме прямого умысла.

К основным действиям, в результате которых
осуществляется преднамеренное разглашение сведений ограниченного доступа, можно
отнести:

·            
разговор с посторонними лицами
по закрытой тематике;

·            
ознакомление посторонних лиц с
информацией ограниченного доступа, содержащейся на различного вида носителях, в
том числе и электронных (без передачи носителя информации постороннему лицу);

·            
передача носителя информации,
содержащего сведения ограниченного доступа, постороннему лицу (в том числе
через посредника, с использованием тайников, почтовой связи, технических
средств, электронной почты и т.д.);

·            
публичное выступление;

·            
опубликование информации в
открытой печати и других в средствах массовой информации;

·            
распространение сведений через
Интернет и т.п.

При непреднамеренном разглашении сведений лицо,
которому информация ограниченного доступа была доверена или стала известна по
службе или работе, нарушая правила и меры, установленные для защиты этой
информации инструкциями, положениями, наставлениями и другими документами, не
предвидит возможности разглашения информации ограниченного доступа, хотя по
обстоятельствам должно было и могло предвидеть такие последствия. Юристы
классифицируют такие действия как разглашение сведений по неосторожности.

· Угрозы
нарушения целостности информации, хранящейся в информационной системе или передаваемой
посредством сети передачи данных, направлены на изменение или
искажение данных, приводящее к нарушению качества или полному уничтожению
информации. Целостность информации может быть нарушена
намеренно злоумышленником, а также в результате объективных воздействий со
стороны среды, окружающей систему (помехи). Эта угроза особенно актуальна для систем передачи
информации – компьютерных сетей и систем телекоммуникаций. Умышленные нарушения
целостности информации не следует путать с ее санкционированным изменением,
которое выполняется авторизованными пользователями с обоснованной целью.

· Угрозы
нарушения доступности системы (отказ в обслуживании) направлены на создание таких
ситуаций, когда определённые действия либо снижают работоспособность
информационной системы, либо блокируют доступ к некоторым её ресурсам.

· Причины случайных воздействий:

·               
аварийные ситуации из-за
стихийных бедствий и отключения электроэнергии;

·               
ошибки в программном
обеспечении;

·               
ошибки в работе обслуживающего
персонала и пользователей;

·               
помехи в линии связи из-за
воздействия внешней среды, а также вследствие плотного трафика в системе
(характерно для беспроводных решений).

· Преднамеренные
воздействия связаны с
целенаправленными действиями злоумышленника, в качестве которого может
выступить любое заинтересованное лицо (конкурент, посетитель, персонал и т.д.).
Действия злоумышленника могут быть обусловлены разными мотивами: недовольством
сотрудника своей карьерой, материальным интересом, любопытством, конкуренцией,
стремлением самоутвердиться любой ценой и т.п.

· Внутренние
угрозы инициируются
персоналом объекта, на котором установлена система, содержащая конфиденциальную
информацию. Причинами возникновения таких угроз может послужить нездоровый
климат в коллективе или неудовлетворенность от выполняемой работы некоторых
сотрудников, которые могут предпринять действия по выдаче информации лицам,
заинтересованным в её получении.

Также имеет место так называемый «человеческий фактор«,
когда человек не умышленно, по ошибке, совершает действия, приводящие к
разглашению конфиденциальной информации или к нарушению доступности
информационной системы. Большую долю конфиденциальной информации злоумышленник (конкурент)
может получить при несоблюдении работниками-пользователями компьютерных сетей
элементарных правил защиты информации. Это может проявиться, например, в
примитивности паролей или в том, что сложный пароль пользователь хранит
на бумажном носителе на видном месте или же записывает в текстовый файл на
жестком диске и пр. Утечка конфиденциальной информации может происходить при использовании
незащищенных каналов связи, например, по телефонному соединению.

· Под внешними угрозами безопасности
понимаются угрозы, созданные сторонними лицами и исходящие из внешней среды,
такие как:

·               
атаки из внешней сети
(например, Интернет), направленные на искажение, уничтожение, хищение
информации или приводящие к отказу в обслуживании информационных систем
предприятия;

·               
распространение вредоносного
программного обеспечения;

·               
нежелательные рассылки (спам);

·               
воздействие на информацию,
осуществляемое путем применения источника электромагнитного поля для наведения
в информационных системах электромагнитной энергии с уровнем, вызывающим
нарушение нормального функционирования (сбой в работе) технических и
программных средств этих систем;

·               
перехват информации с
использованием радиоприемных устройств;

·               
воздействие на информацию,
осуществляемое путем несанкционированного использования сетей инженерных
коммуникаций;

·               
воздействие на персонал
предприятия с целью получения конфиденциальной информации.

В современном мире, когда стало возможным применять
сервисы и службы с использованием информационной коммуникационной среды
(электронные платежи, Интернет-магазины,
электронные очереди и т.п.), многократно увеличивается риск именно внешних
угроз.

3. Источники угроз

Источники
угроз:

1.
Внутренние:

а) ошибки
пользователей и сисадминов;

б) ошибки в
работе ПО;

в) сбои в работе
компьютерного оборудования;

г) нарушение
сотрудниками компании регламентов по работе с информацией.

2. Внешние
угрозы:

а)
несанкционированный доступ к информации со стороны заинтересованных организаций
и отдельных лица (промышленный шпионаж конкурентов, сбор информации спецслужбами,
атаки хакеров и т.п.);

б)
компьютерные вирусы и иные вредоносные программы;

в) стихийные
бедствия и техногенные катастрофы (например, ураган может нарушить работу
телекоммуникационной сети, а пожар уничтожить сервера с важной информацией).

Самыми частыми
и самыми опасными (с точки зрения размера ущерба)
являются непреднамеренные ошибки штатных
пользователей, операторов, системных администраторов и других лиц,
обслуживающих информационные системы.

Иногда такие
ошибки и являются собственно угрозами (неправильно
введенные данные или ошибка в программе, вызвавшая крах системы), иногда они
создают уязвимые места, которыми могут воспользоваться злоумышленники (таковы обычно ошибки
администрирования). По некоторым данным, до 65% потерь —
следствие непреднамеренных ошибок. Пожары и наводнения не
приносят столько бед, сколько безграмотность и небрежность в работе. Очевидно,
самый радикальный способ борьбы с непреднамеренными
ошибками — максимальная автоматизация и строгий контроль.

Контрольные
вопросы

1. Что
такое угроза с точки зрения ИБ?

2. Что
такое атака?

3. Как
можно классифицировать угрозы?

4. Какие
формы утечки информации вам известны?

5. В чем выражаются угрозы информации?