Частина II. ОСНОВИ БЕЗПЕКИ ІНФОРМАЦІЙНИХ ТЕХНОЛОГІЙ. Крадіжка — здійснення з корисливою метою протиправного безоплатного вилучення і (або) обіг чужого майна на користь вин­ного або інших осіб

І

Крадіжка — здійснення з корисливою метою протиправного безоплатного вилучення і (або) обіг чужого майна на користь вин­ного або інших осіб, що спричинили збитки власникові майна.

Копіювання комп'ютерної інформації — повторювання та стійке збереження інформації на машинному або іншому носієві.

Знищення — зовнішній вплив на майно, у результаті яко­го воно припиняє своє існування або приходить у повну непри­датність для використання по цільовому призначенню. Знищене майно не може бути відновлене шляхом ремонту або реставрації та повністю виводиться з господарського обігу.

Знищення комп'ютерної інформації — стирання її у пам'яті ЕОМ.

Ушкодження — змінювання властивостей майна, при яко­му суттєво погіршується його стан, втрачається значна частина його корисних властивостей і воно стає повністю або частково непридатним для цільового використання.

Модифікація комп'ютерної інформації — внесення будь-яких змін, окрім пов'язаних з адаптацією програми для ЕОМ або баз даних.

Блокування комп'ютерної інформації — штучне усклад­нення доступу користувачів до інформації, не пов'язане з її зни­щенням.

Несанкціоноване знищення, блокування, модифікація, копію­вання інформації — будь-які не дозволені законом, власником або компетентним користувачем вказаних дій з інформацією.

Обман (заперечення автентичності, нав'язування хибної ін­формації) — умисне спотворення або приховування істини з ме­тою введення в оману особу, у веденні якої знаходиться майно, і таким чином домагатися від неї добровільної передачі майна, а та­кож повідомлення з цією метою свідомо неправдивих відомостей.

Якщо розглядати як суб'єкт, що спричинив збитки, будь-яке природне або техногенне явище під збитками можна розуміти невигідні для власника майнові наслідки, викликані цими яви­щами, і які можуть бути компенсовані за рахунок третьої сторо­ни (страхування ризиків настання події) або за рахунок власних засобів власника інформації.

Наприклад, страхування представляє собою відносини із захисту майнових інтересів фізичних і юридичних осіб при на­станні певних подій (страхових випадків) за рахунок грошових фондів, які формуються зі сплачуваних ним страхових внесків.

7.1.3. Класифікація загроз безпеці інформації

Виходячи з попередніх міркувань можна виділити три основ­ні види загроз безпеці інформації: загрози безпеці інформації при забезпеченні конфіденційності, доступності та цілісності (рис. 7.2).

Загрози безпеці інформації при забезпеченні-конфіденцій-ності:

• крадіжка (копіювання) інформації та засобів її оброблення;

• втрата (неумисна втрата, витік) інформації та засобів її об­
роблення.

Частина II. ОСНОВИ БЕЗПЕКИ ІНФОРМАЦІЙНИХ ТЕХНОЛОГІЙ

Загрози безпеці інформації при забезпеченні доступності:

блокування інформації;

знищення інформації та засобів її оброблення.

Загрози безпеці інформації при забезпеченні цілісності:

модифікація (спотворення) інформації;

заперечення автентичності інформації;

нав'язування фальшивої інформації.

7.1.4. Класифікація джерел загроз

Носіями загроз безпеці інформації є джерела загроз. Джерела­ми загроз можуть бути як суб'єкти (особистість), так і об'єктивні прояви. Причому джерела загроз можуть знаходитися як усере­дині організації — внутрішні джерела, так і ззовні її — зовнішні джерела. Поділ джерел на суб'єктивні та об'єктивні виправдане виходячи з попередніх міркувань стосовно вини або ризику збит­ку інформації. А поділ на внутрішні та зовнішні джерела виправ­даний тому, що для однієї й тієї ж загрози методи відбивання для внутрішніх і зовнішніх загроз можуть бути різними.

Усі джерела загроз безпеці інформації можна розділити на три групи (рис. 7.3):

• обумовлені діями суб'єкта (антропогенні джерела загроз);

• обумовлені технічними засобами (техногенні джерела загроз);

• обумовлені стихійними джерелами.
Антропогенними джерелами загроз виступають суб'єкти,

дії яких можуть бути кваліфіковані як умисні або випадкові зло­чини. Тільки в цьому випадку можна говорити про заподіяння збитку. Ця група джерел загроз найбільш численна та представ­ляє найбільший інтерес із точки зору організації захисту, так як дії суб'єкта завжди можна оцінити, спрогнозувати та прийняти адекватні заходи. Методи протидії у цьому випадку керовані й прямо залежать від волі організаторів захисту інформації.

Антропогенним джерелом загроз можна вважати суб'єкта, що має доступ (санкціонований або несанкціонований) до робо­ти зі штатними засобами об'єкта, що підлягає захисту. Суб'єкти

Частина ІІ.ОСНОВИ БЕЗПЕКИ ІНФОРМАЦІЙНИХ ТЕХНОЛОГІЙ

(джерела), дії яких можуть привести до порушення безпеки ін­формації, можуть бути як зовнішніми, так і внутрішніми. Зов­нішні джерела можуть бути випадковими або навмисними та мати різний рівень кваліфікації.

Внутрішні суб'єкти (джерела), як правило, становлять собою висококваліфікованих спеціалістів у галузі розробки та експлуа­тації програмного забезпечення та технічних засобів, знайомі зі специфікою завдань, що вирішуються, структурою та основними функціями та принципами роботи програмно-апаратних засобів захисту інформації, мають можливість використання штатного обладнання та технічних засобів мережі.

Необхідно враховувати також, що особливу групу внутрішніх антропогенних джерел складають особи з порушеною психікою та спеціально впроваджені та завербовані агенти, які можуть бути з числа основного, допоміжного та технічного персоналу, а також представників служби захисту інформації. Дана група розглядається у складі перелічених вище джерел загроз, але ме­тоди протидії загрозам для цієї групи джерел можуть мати свої відмінності.

Слід відзначити, що кваліфікація антропогенних джерел за­гроз безпеці інформації відіграє важливу роль для оцінки їхньо­го впливу та враховується при ранжируванні джерел загроз.

Друга група містить джерела загроз, що визначаються тех­нократичною діяльністю людини та розвитком цивілізації. Про­те наслідки, викликані такою діяльністю, вийшли з-під контролю людини та діють самі по собі. Людство дійсно стає все більше за­лежним від техніки, і джерела загроз, які безпосередньо залежать від властивостей техніки, менше прогнозовані і тому потребують особливої уваги. Даний клас джерел загроз безпеці інформації є особливо актуальних у сучасних умовах, так як очікується різке зростання числа техногенних катастроф, викликаних фізичним та моральним застаріванням існуючого обладнання, а також від­сутністю коштів на його оновлення. Технічні засоби, що є джере­лами потенційних загроз безпеці інформації, також можуть бути зовнішніми та внутрішніми.

Розділ 7. Основи безпеки інформаційних ресурсів

Третя група джерел загроз об'єднує обставини, що становлять непереборну силу, тобто такі обставини, які мають об'єктивний і абсолютний характер, що поширюється на всіх. До непереборної сили в законодавстві та договірній практиці відносять стихійні лиха або інші обставини, які неможливо передбачити або їм за­побігти або можливо передбачити, але не можливо запобігти їм при сучасному рівні знань і можливостей людини. Такі джерела загроз абсолютно не піддаються прогнозуванню, і тому заходи захисту від них повинні застосовуватися завжди.

Стихійні джерела потенційних загроз інформаційній безпеці, як правило, є зовнішніми по відношенню до об'єкта захисту. Під ними розуміють, насамперед, природні катаклізми.

7.1.5. Ранжирування джерел загроз

Усі джерела загроз мають різну міру небезпеки [measure of danger], яку можна оцінити, якщо провести їхнє ранжирування. При цьому оцінка міри небезпеки здійснюється за непрямими показниками. Критеріями порівняння (показників) пропонуєть­ся, наприклад, вибрати:

• можливість виникнення джерела (Kj),-, що визначає міру до­
ступності до можливості використати фактор (уразливість)
(для антропогенних джерел), віддаленість від фактора (ураз­
ливості) (для техногенних джерел) або особливості обста­
новки (для випадкових джерел);

• готовність джерела (K₂)j, що визначає міру кваліфікації та
привабливість вчинення діяння з боку джерела загрози (для
антропогенних джерел) або наявність необхідних умов (для
техногенних та стихійних джерел).

• фатальність (К₃),, що визначає міру непереборності наслідків
реалізації загрози.

Кожний показник оцінюється експертно-аналітичним мето-Дом за п'ятибальною системою. Причому 1 відповідає мінімаль­ній мірі впливу показника, який оцінюється на небезпеку вико­ристання джерела, а 5 — максимальній.

Частина II. ОСНОВИ БЕЗПЕКИ ІНФОРМАЦІЙНИХ ТЕХНОЛОГІЙ

(K_dan)i Для окремого джерела можна визначити як відношен­ня добутку наведених вище показників до максимального зна­чення (125).

Міра доступності до об'єкта, що підлягає захисту, може бути класифікована за наступною шкалою:

• висока ступінь доступності — антропогенне джерело загроз
має повний доступ до технічних і програмних засобів оброб­
ки інформації, що підлягає захисту (характерно для внутріш­
ніх антропогенних джерел, що наділені максимальним пра­
вом доступу, наприклад, представник служб безпеки інфор­
мації, адміністратори);

• перша середня ступінь доступності — антропогенне джере­
ло загроз має можливість опосередкованого, не визначено­
го функціональними обов'язками (за рахунок побічних ка­
налів витоку інформації, використання можливості доступу
до привілейованих робочим місць), доступу до технічних і
програмних засобів обробки інформації, що підлягає захисту
(характерно);

• друга середня ступінь доступності — антропогенне джерело
загроз має обмежену можливість до програмних засобів у силу
введених обмежень при використанні технічних засобів, фун­
кціональних обов'язків або за видом своєї діяльності (харак­
терно для внутрішніх антропогенних джерел із звичайними
правами доступу, наприклад, користувачі, або зовнішніх ант­
ропогенних джерел, що мають право доступу до засобів об­
роблення та передачі інформації, що підлягає захисту, напри­
клад хакери, персонал постачальників телематичних послуг);

• низька ступінь доступності — антропогенне джерело загроз
має дуже обмежену можливість доступу до технічних засобів
і програм, які обробляють інформацію, що підлягає захисту
(характерно для зовнішніх антропогенних джерел);

• відсутність доступності — антропогенне джерело загроз не
має доступу до технічних засобів і програм, які обробляють
інформацію, що підлягає захисту.

Поиск по сайту: