Основи безпеки інформаційних ресурсів

7.1. ЗАГРОЗИ БЕЗПЕЦІ ІНФОРМАЦІЇ ТА ІНФОРМАЦІЙНИХ РЕСУРСІВ

7.1.1. Загальні положення

На сьогодні вважають, що забезпечення безпеки інформації повинно мати комплексний характер. Усе більше фахівців про­понують свої рішення в галузі забезпечення безпеки інформа­ційних ресурсів як комплексні. Проте організація забезпечення безпеки інформації повинна мати не просто комплексний ха­рактер, але ще й засновуватися на всебічному аналізі можливих негативних наслідків, при якому важливо не упустити будь-які суттєві аспекти.

Насамперед заходи забезпечення інформаційної безпеки в організації спрямовуються тільки на те, щоб не допустити збит­ків від утрати конфіденційної інформації. Відповідно до цього уже передбачається наявність цінної інформації, із-за втрати якої організація може понести збитки. А якщо є цінна інформа­ція, то звичайно ж є можливість здійснення будь-яких дій, які можуть нанести шкоду цій інформації. Усі шкідливі дії можуть бути здійсненими тільки при наявності будь-яких слабких місць (уразливостей) (рис. 7.1). А якщо є дії, то є найвища загроза їх здійснення, а також наявні джерела, з яких ці загрози можуть виходити [6,10].

Частина II. ОСНОВИ БЕЗПЕКИ ІНФОРМАЦІЙНИХ ТЕХНОЛОГІЙ

Виникає наступний ланцюжок: джерело загрози — фактор (уразливість) — загроза (дія) — наслідки (атака).

Джерело загрози — це потенційні антропогенні, техногенні або стихійні носії загрози безпеці.

Загроза (дія) — це можлива небезпека (потенційна або така, що існує реально) вчинення будь-якого діяння (дії або бездіяль­ності), спрямованого проти об'єкта захисту (інформаційних ре­сурсів), яке наносить збиток власнику або користувачу, що про­являється як небезпека спотворення або втрати інформації.

Фактор (уразливість) — це властиві об'єкту інформатизації причини, які призводять до порушення безпеки інформації на конкретному об'єкті та зумовлені вадами процесу функціонуван­ня об'єкта інформатизації, властивостями архітектури інформа­ційно-телекомунікаційної системи, протоколами обміну та інтер-фейсами,що застосовуються програмним забезпеченням і апарат­ними засобами, умовами експлуатації.

Наслідки (атака) — це можливі наслідки реалізації загрози (можливі дії) при взаємодії джерела загрози через наявні фактори (уразливості).

Атака — це завжди пара «джерело-фактор»,що реалізує загро­зу та приводить до збитків.

7.1.2. Збитки як категорія класифікації загроз

Прояви збитків можуть бути різноманітні: моральні й матеріальні збитки ділової репутації організації; моральні, фізичні або матеріальні збитки, зв'язані з розголо­шенням персональних даних окремих осіб; матеріальні (фінансові) збитки від розголошення конфіден­ційної інформації;

матеріальні (фінансові) збитки від необхідності відновлення порушених інформаційних ресурсів;

матеріальні збитки (втрати) від неможливості виконання взя­тих на себе зобов'язань перед третьою стороною;

Розділ 7. Основи безпеки інформаційних ресурсів

• моральні та матеріальні збитки від дезорганізації діяльності
організації;

• матеріальні та моральні збитки від порушення міжнародних
відносин.

Слід відзначити, що збитки можуть бути спричинені як будь-яким суб'єктом (у цьому випадку відбувається правопорушення), так і бути наслідком незалежного від суб'єкта прояву (наприклад, стихійних випадків, або інших впливів, таких як прояви техноген­них властивостей цивілізації).

У першому випадку наявна вина суб'єкта, яка визначає спри­чинену шкоду як склад злочину, що здійснюється із злими на­мірами (умисно) або по необережності і спричинені збитки по­винні класифікуватися як склад злочину, відповідно до кримі­нального права.

У другому випадку збитки мають імовірнісний характер і по­винні бути зівставлені як мінімум із тим ризиком, який обгово­рюється цивільним, адміністративним або арбітражним правом, як предмет розгляду. І визначення цього, хто саме є причиною збитків, є другим за важливістю (після спроби цього не допусти­ти) питанням для потерпілого.

В теорії права під збитками розуміють невигідні для власни­ка майнові наслідки, що виникли через правопорушення. Збитки виражаються у зменшенні майна або недоодержанні прибутку, який був би одержаний при відсутності правопорушення (упу­щена вигода).

Якщо розглядати як суб'єкт, що спричинив збитки, будь-яку особистість, категорія «збитки» є справедливою тільки у тому випадку, коли можна довести, що вони спричинені, тобто діяння особистості необхідно кваліфікувати в термінах правових актів як склад злочину. Тому при класифікації загроз безпеці інфор­мації у цьому випадку доцільно враховувати вимоги чинного кримінального права, які визначають склад злочину.

Для прикладу можна розглянути склади злочину, які визна­чаються кримінальними кодексами в багатьох державах.

Поиск по сайту: