21 июня 2012
Угрозы безопасности информации, цели и задачи защиты информации.
Часть 3
Хорев Анатолий Анатольевич,
профессор, доктор технических наук
Национальный исследовательский университет «МИЭТ»
Заведующий кафедрой «Информационная безопасность»
E-mail: horev@miee.ru
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
3. Классификация угроз безопасности информации
При обеспечениии безопасности информации основными направлениями защиты являются обеспечение конфиденциальности, целостности и доступности информации. Причем требование обеспечения конфиденциальности распространяется только на информацию ограниченного доступа.
Рассмотрим более подробно содержание этих понятий.
В соответствии с [1, 3] под конфиденциальностью информации понимается обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя.
На мои взгляд, это определение касается только юридической стороны обеспечения конфиденциальности и не в полной мере отражает понятие «конфиденциальность», с точки зрения защиты информации. Ведь может случится так, что лицо, получившее доступ к информации, эту информацию третьим лицам не передавало, но не приняло мер по ее защище, вследствие чего произошла утечки информации по техническим каналам или произошел несанкционированный доступ к информации посторонних лиц.
Поэтому, с точки зрения обеспечения безопасности информации, целесообразно использовать определение конфиденциальности информации, приведенное в [4, 5]: конфиденциальность информации – состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право.
Принимая во внимание, что конфиденциальность информации – это ее состояние, воспользуемся следующими определениями целостности и доступности информации [4, 5]:
- целостность информации – состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право;
- доступность информации - состояние информации, при котором субъекты, имеющие права доступа, могут реализовать их беспрепятственно.
Таким образом, под
безопасностью информации будем понимать такое ее состояние, при котором обеспечивается конфиценциальность, целостность и доступность информации.
Факторы (явления, действия или процессы) и условия, создающие потенциальную или реально существующую опасность нарушения безопасности информации, называются угрозами безопасности информации [1].
Реализация угроз безопасности информации может привести к:
- утечке информации - нарушению конфиденциальности информации;
- модифицированию (искажению, подмене) или уничтожению информации - нарушению целостности информации;
- неправомерному блокированию доступа к информации - нарушению доступности информации.
Таким образом,
угроза безопасности информации - это совокупность факторов и условий их реализации, результатом которых могут быть утечка, модифицирование (искажение, подмена), уничтожение информации или блокирование доступа к ней.
Следовательно, угрозы безопасности информации можно классифицировать по виду последствий их реализации:
- угрозы утечки информации;
- угрозы модифицирования (искажения, подмены) информации;
- угрозы уничтожения информации;
- угрозы блокирование доступа к информации.
В федеральном законе «Об информации, информационных технологиях и о защите информации», в ГОСТах и в нормативно-методических документах ФСТЭК России отсутствет определение утечки информации, хотя уголовная и администрантивная отвественноть предусмотрена именно за разглашение информации ограниченного доступа.
Введем такое определение: утечка информации – неконтролируемое распространение защищаемой информации в результате ее разглашения, несанкционированного доступа к ней, перехвата информации техническими средствами (утечки информации по техническим каналам), а также хищения носителя информации.
Под разглашением сведений ограниченного доступа будем понимать противоправное предание огласке сведений ограниченного доступа, при котором они стали достоянием посторонних лиц [2]. Причем посторонним признается любое лицо, которое по характеру выполняемой работы или служебных обязанностей не имеет доступа к данным сведениям.
Разгласить сведения ограниченного доступа могут только лица, имеющие правомерный доступ к этим сведениям, то есть лица, имеющие прово на их получение и использование.
Лица, не имеющие права доступа к информации, могут осуществить неправоменрный доступ к информации путем хищения носителя информации, перехвата информации техническими средствами, а также несанкционированного доступа к информации.
Хищение носителей информации может осуществляться как тайно, так и открыто. Тайное хищение носителей информации называется кражей, а открытое – грабежем [2].
Термин несанкционированный доступ к информации (НСД) обычно применяется к информации, обрабатываемой средствами вычислительной техники (СВТ) и автоматизированными системами (АС). При этом, под несанкционированным доступом к информации понимается доступ к информации, осуществляемый с нарушением установленных прав и (или) правил доступа к информации с применением штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами, или средств, аналогичных им по своим функциональному предназначению и техническим характеристикам [5]. Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированных систем.
Перехватом информации называется неправомерное получение информации с использованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов, то есть, сигналов, по параметрам которых может быть востановлена защищаемая информация [5].
Более подробно способы разглашения сведений и неправомерного доступа к информации будет рассмотрены в следующих частях статьи.
Список используемой литературы
- ГОСТ Р 50922- 2006. Защита информации. Основные термины и определения. – Введ. 2008-02-01. – М.: Стандартинформ, 2007. – 12 с.
- Комментарий к Уголовному кодексу Российской Федерации. - 3-е изд., изм. и доп./ Под общ. ред. Ю.И.Скуратова, В.М.Лебедева. - М.: Норма-Инфра-М, 2000. - 896 с.
- Об информации, информационных технологиях и о защите информации: федер. закон от 27 июля 2006 г. № 149-ФЗ: [принят Гос. Думой 8 июля 2006 г.: одобрен Советом Федерации 14 июля 2006 г.]. [Электронный ресурс]. – Режим доступа: http://www.rg.ru/2006/07/29/informacia-dok.html.
- Информационные технологии. Основные термины и определения в области технической защиты информации: рекомендации по стандартизации. Р 50.1.053-2005: утв. Приказом Федерального агенства по техническому регулированию и метрологии от 6 апреля 2005 г. № 77-ст . . - Введ. 2006-01-01. [Электронный ресурс]. – Режим доступа: http://allsnips.info/docs/45/45674/index.htm.
- Техническая защита информации. Основные термины и определения: рекомендации по стандартизации. Р 50.1.056-2005: утв. Приказом Ростехрегулирования от 29 декабря 2005 г. № 479-ст . – Введ. 2006-06-01. – М.: Стандартинформ, 2006. – 16 с.
Продолжение следует
