Классификация
по природе возникновения угрозы:
- Естественными
принято называть угрозы, возгникшие в
результате воздействия на систему объективных
физических процессов или стихийных природных
явлений, не зависящих от человека.
- Искуственные
угрозы вызваны действием человеческого
фактора.
Примерами
естественных угроз могут служить
пожары, наводнения, цунами, землетрясения
и т.д. Неприятная особенность таких
угроз – чрезвычайная трудность
или даже невозможность их прогнозирования.
Классификация
по степени преднамеренности угрозы:
- Случайные
угрозы бывают обусловлены халатностью
или преднамеренными ошибками персонала.
(неумышленные)
- Преднамеренные
угрозы обычно возникают в результате
направленной деятельности злоумышленника.
(умышленные)
В качестве
примеров случайных угорз можно
привнести непреднамеренный ввод ошибочных
данных, неумышленную порчу оборудования.
Пример преднамеренной угрозы – проникновение
злоумышденника на охраняемую территорию
с нарушением установленных правил физического
доступа.
Неумышленные
угрозы вызываются ошибочными действиями
лояльных сотрудников, становятся следствием
их низкой квалификации или безответственности.
Кроме того, к такому роду угроз
относятся последствия ненадежной
работы программных и аппаратных средств
системы. Так, например, из-за отказа диска,
контроллера диска или всего файлового
сервера могут оказаться недоступными
данные, критически ваные для работы предприятия.
Поэтому вопросы безопасности так тесно
переплетаются с вопросами надежности,
отказоустойчивости технических средтв.
Угрозы безопасности, которые вытекают
из ненадежности рботы программно-аппаратных
средств, предовращаются путем их совершенствования,
использования резервирования на уровне
аппаратуры или на уровне массивов данных.
Умышленные
угрозы.
Умышленные
угрозы могут ограничиваться либо пассивным
чтением данных или мониторингом
системы, либо включать в себя активные
действия, например нарушение целоствности
и доступности информации, приведение
в нерабочее состояние приложений и устройств.
Так, умышленные угрозы возникают в результате
деятельности хакеров и явно направлены
на нанесение ущерба предприятию.
В информационных
системах можно выделить следующие
типы умышленных угроз:
- Незаконное
проникновение в один из компьютеров сети
под видом легального пользователя;
- Разрушение
системы с помощью программ-вирусов;
- Нелегальные
действия легального пользователя;
- «Подслушивание»
внутрисетевого трафика;
Незаконное
проникновение.
Незаконное
проникновение может быть реализовано
через уязвимые места в системе безопасности
с использовнаием недокументрованных
возможностей операционной системы. Эти
возможности могут позволить злоумышленнику
«обойти» стандартную процедуру, контролирующую
вход в сеть.
Другим
способом незаконого проникновения в
сеть является испольщоваение «чужих»
паролей, полученныз путем полглядывания,
расшифровки файла паролей, подбора паролей
или получения пароля путем анализа сетевого
трафика. Особенно опасно проникновение
злоумышленника под именем пользователя,
наделенного большими полномочиями, например
админитсратора сети. Для того, чтобы завладеть
паролем администратора, злоумышленник
может попытаться войти в сеть под именем
простого пользователя.
Классификация
по источнику угрозы:
- Угрозы, источником
которых является природная
среда. Примеры – пожары, наводнения,
стихийные бедствия.
- Угрозы, источником
которых является человек. Пример
– внедрение агентов в ряды персонала
АС(автоматизированная система) со стороны
конкурирующей организации.
- Угрозы, источником
которых является санкционированные
програмно-аппаратные
средства. Пример – некомпетентное
использование системных утилит.
- Угрозы, источником
которых является несанкционированные
программно-аппаратные
средства. Пример – внедрение в систему
кейлоггеров.
Классификация
по положению источника угрозы:
- Угрозы, источник
которых расположен вне контролируемой
зоны. Пример – перехват побочных электромагнитных
излучений (ПЭМИН) или перехват данных,
передаваемых по каналам связи; дистанционная
фото- и видеосъема; перехват акустической
информации с использованием направленных
микрофонов.
- Угрозы, источник
которых расположен в пределах контролируемой
зоны. Пример – применение подслушивающих
устройств или хищение носителей, содержащих
конфендициальную информацию.
Классификация
по степени воздействия угрозы:
- Пассивные
угрозы при реализации не осуществляют
никаких изменений в составе и структуре
информационных систем. Пример – несанкционированное
копирование файлов с данными.
- Реализация
активных угроз, напротив, нарушает структуру
информационной системы.
Классификация
по способу доступа к ресурсам:
- Угрозы, использующие
стандартный доступ. Пример – несанкционированное
получение пароля путем подкупа, шантажа,
угроз или физического насилия по отношению
к законному обладателю.
- Угрозы, использующие
нестандартный путь доступа. Пример –
использование недекларированных возможностей
средств защиты.
Классификация
по способу воздействия на объекты
информационной безопасности:
- информационные,
- программные,
- физические,
- радиоэлектронные,
- организационно-правовые.
К
информационным угрозам
относятся:
- несанкционированный
доступ к информационным ресурсам;
- незаконное
копирование данных в информационных
системах;
- хищение информации
из библеотек, архивов, банков и баз данных;
- нарушение
технологии обработки информации;
- противозаконный
сбор и использование информации;
- использование
информационного оружия.
К
программным угрозам
относятся:
- использование
ошибок и «дыр» в ПО;
- компьютерные
вирусы и вредоносные программы;
- установка
«закладных» устройств.
К
физическим угрозам
относятся:
- уничтожение
или разрушение средств обработки информации
и связи;
- хищение носителей
информации;
- хищение программных
или аппаратных ключей и средств криптографической
защиты данных;
- воздействие
на персонал.
К
радиоэлектронным угрозам
относятся:
- внедрение
электронных устройств перехвата информации
в технические средства и помещения;
- перехват,
расшифровка, подмена и уничтожение информации
в каналах связи.
К
организационно-правовым
угрозам относятся:
- закупки несовершенных
или устаревших информационных технологий
и средств информатизации;
- нарушение
требований законодательства и задержка
в принятии необходимых нормативно-правовых
решений в информационной сфере.
Основная
классификация угроз, основывающаяся
на трех базовых свойствах защищаемой
информации:
- Угрозы нарушения
конфиденциальности информации, в результате
реализации которых информация становится
доступной субъекту, не распологающему
полномочиями для ознакомления с ней.
- Угрозы нарушения
целостности информации, к которым относится
любое злонамеренное искажение информации,
обрабатываемой с использованием АС.
- Угрозы нарушения
доступности информации, возникающие
в тех случаях, когда доступ к некотрому
ресурсу АС для легальных пользователей
блокируется.
Сертификат
соответсвия. 3 года
Выдается
ФСБ РФ. Аппаратно-программное средство.
Лицензия
5 лет.
Формальная
теория.
Субъект
– объект, который имеет правл
управлять информацией. Формальная
теория рассматривает правила и
модели взаимодействия объекта и
субъекта. Права: право чтение информации
и доступа из объекта, право записи, право
на создание нового субъекта, право передачи
каких-то прав другому субъекту.
Информационная
защита государственной безопасности.
Информационная
безопасность государства существовала
всегда. Стеганография – скрыт сам факт
передачи сообщения. Например: в древнем
мире писали на голове раба информацию
и когда волосы отрастали отправляли его.
Национальные
интересы РФ в информационной сфере
складываются из 3х элементов:
- Реализация
конституционных прав человека и гражданина
на доступ к информации. На использование
информации в интересах осуществления
незарпещенной законом деятельности физического,
духовного и интелектуальнного развития.
А также в защиет информации обеспечивающей
личную безопасность.
- Интересы
общества в информационной сфере заключаются
в: обеспечение интересов личности в этой
сфере; упрочнении демократии; создание
правового социального государства; достижение
и поддержание общественного согласия.
- Интересы
государства в информационной сфере заключается
в создании условий для гармоничного развития
российской информационной инфроструктуры,
для реализации конституционных прав
и свобод человека и гражданина в области
получения информации и пользования ею
в целях обеспечения незыблемости конституционного
строя, территориальной целостности России,
суверенитета, полной экономической и
социальной стабильности, в безусловном
обеспечени законности и правопорядка,
развитие равноправного международного
сотрудничества.
Что требуется
для достижения 4 составляющих национальных
интересов в РФ? (см 2 лекцию)
Для достижения
первой составляющей требуется:
- Повысить
эффективность информационной инфроструктуры
в интересах общественного развития, консолидации
российского общества, духовного возрождения
многонационального народа РФ.
- Усовершенствовать
систему формирования, сохранения и рационального
использования информационных ресурсов,
составляющих основу научно-технического
и духовного потенциала РФ.
- Обеспечить
конституционные права и свободы человека
и гражданина на личную и семейную тайну,
тайну переписки, телефоных переговоров,
почтовых, телеграфных и иных сообщений
на защиту своей чести и своего доброго
имени.
- Обеспечить
конституционные права и свободы человека
и гражданина свободно искать, получать,
передавать и распространять информацию
любым законным способом и получать достоверную
информацию о состоянии окружающей среды.
- Укрепить
механизм правового регулирования отношений
в области охраны интелектуальной собственности,
создать условия для соблюдения установленных
федеральным законодательством ограничений
на доступ конфиденциальной информации.
- Гарантировать
свободу СМИ и запрет цензуры.
- Недопускать
пропаганду и агитацию, которая способствует
разжиганию рассовой, социальной, национальной
или религиозной ненависти и вражды.
- Обеспечить
запрет на сбор, хранение, использование
и распространение информации о частной
жизни лица без его согласия и другой информации,
доступ к которой ограничен федеральным
законодательством.
Для достижения
второй составляющей требуется:
- Укрепить
государственные средства массовой информации,
расширять их возможности по своевременному
доведению достоверной информации до
российских и иностранных граждан.
- Интенсифицировать
формироание открытых государственных
информационных ресурсов, повысить эффективность
их хозяйственного использования.
Для достижения
третей составляющей требуется:
- Развивать
и совершенствовать инфроструктуру единого
информационного пространтсва РФ.
- Развивать
отечественную индустрию информационных
услуг и повышать эффективность использования
государственных информационных ресурсов.
- Развивать
производство в РФ конкурентно-способных
средств и систем информатизации, телекомуникации
и связи, расширять участие России в международной
кооперациипроизводителей этих средств
и систем.
- Обеспечить
государственную поддержку отечественных,
фундаментальных и прикладных исследований
и разработок в сфере информации, телекомуникации
и связи.