- выпытывание;

- подслушивание;

- наблюдение  и другие пути.

Любые способы  утечки конфиденциальной информации могут  привести к значительному материальному  и моральному ущербу как для организации, где функционирует ИС, так и  для ее пользователей.

Менеджерам  следует помнить, что довольно большая  часть причин и условий, создающих  предпосылки и возможность неправомерного овладения конфиденциальной информацией, возникает из-за элементарных недоработок  руководителей организаций и  их сотрудников. Например, к причинам и условиям, создающим предпосылки  для утечки коммерческих секретов, могут относиться:

- недостаточное  знание работниками организации  правил защиты

конфиденциальной  информации и непонимание необходимости  их

тщательного соблюдения;

- использование  неаттестованных технических средств  обработки

конфиденциальной  информации;

- слабый  контроль за соблюдением правил  защиты информации

правовыми организационными и инженерно- техническими мерами и др.

Уничтожение компьютерной информации – это стирание ее в памяти ЭВМ, удаление с физических носителей, а также несанкционированные изменения составляющих ее данных, кардинально меняющие содержание (например, введение ложной информации, добавление, изменение, удаление записей). Одновременный перевод информации на другой машинный носитель не считается в контексте уголовного закона уничтожением компьютерной информации лишь в том случае, если в результате этих действий доступ правомерных пользователей к информации не оказался существенно затруднен либо исключен.

Имеющаяся у пользователя возможность восстановить уничтоженную

информацию  с помощью средств программного обеспечения или получить данную информацию от другого пользователя не освобождает виновного от ответственности.

Уничтожением  информации не является переименование файла, где она содержится, а также  само по себе автоматическое "вытеснение" старых версий файлов последними по времени.

Блокирование компьютерной информации – это искусственное затруднение доступа пользователей к компьютерной информации, не связанное с ее уничтожением. Другими словами, это совершение с информацией действий, результатом которых является невозможность получения или использование ее по назначению при полной сохранности самой информации.

Компрометация информации, как правило, реализуется посредством

внесения  несанкционированных изменений  в базы данных, в результате чего ее потребитель вынужден либо отказаться от нее, либо предпринимать дополнительные усилия для выявления изменений  и восстановления истинных сведений.

В случае использования скомпрометированной  информации потребитель подвергается опасности принятия неверных решений  со всеми вытекающими последствиями.

Модификация компьютерной информации – это внесение в нее любых изменений, кроме связанных с адаптацией программы для ЭВМ или базы данных.

Адаптация программы для ЭВМ или базы данных – «это внесение изменений, осуществляемых исключительно в  целях обеспечения функционирования программы для ЭВМ или базы данных на конкретных технических средствах  пользователя или под управлением  конкретных программ пользователя» (ч.1 ст.1 Закона РФ от 23 сентября 1992 года "О  правовой охране программ для электронных  вычислительных машин и баз данных"). Другими словами это означает изменение ее содержания по сравнению  с той информацией, которая первоначально (до совершения деяния) была в распоряжении собственника или законного пользователя.

Копирование компьютерной информации – изготовление и устойчивое запечатление второго и последующих экземпляров базы данных, файлов в любой материальной форме, а также их запись на машинный носитель, в память ЭВМ.

Отказ в обслуживании представляет собой весьма существенную и распространенную угрозу, источником которой является сама АИС. Подобный отказ особенно опасен в ситуациях, когда задержка с предоставлением ресурсов абоненту может привести к тяжелым для него последствиям. Так, отсутствие у пользователя данных, необходимых для принятия решения, в течение периода, когда это решение еще может быть эффективно реализовано, может стать причиной его нерациональных действий.³

Каждая  из угроз по разному воздействует на информационные системы.

Способы воздействия угроз на информационные объекты подразделяются на:

а) информационные;

б) программно-математические;

в) физические;

г) радиоэлектронные;

д) организационно-правовые.

К информационным способам относятся:

– нарушение  адресности и своевременности информационного  обмена,

противозаконный сбор и использование информации;

– несанкционированный  доступ к информационным ресурсам;

– манипулирование  информацией (дезинформация, сокрытие или сжатие

информации);

– нарушение  технологии обработки информации.

Программно-математические способы включают:

– внедрение  компьютерных вирусов;

– установка  программных и аппаратных закладных  устройств;

– уничтожение  или модификацию данных в автоматизированных

информационных  системах.

Физические способы включают:

– уничтожение  или разрушение средств обработки  информации и связи;

– уничтожение, разрушение или хищение машинных или других носителей

информации;

– хищение  программных или аппаратных ключей и средств криптографической  защиты информации;

– воздействие  на персонал;

– перехват, дешифровка и навязывание ложной информации в сетях передачи

данных  и линиях связи;

– воздействие  на парольно-ключевые системы;

Радиоэлектронными способами являются:

– перехват информации в технических каналах  ее возможной утечки;

– внедрение  электронных устройств перехвата  информации в технические средства и помещения;

– перехват, дешифровка и навязывание ложной информации в сетях передачи данных и линиях связи;

– радиоэлектронное подавление линий связи и систем управления.

Организационно-правовые способы включают:

– невыполнение требований законодательства о задержке в принятии

необходимых нормативно-правовых положений в  информационной сфере;

– неправомерное  ограничение доступа к документам, содержащим важную для граждан и  организаций информацию.

Суть  подобных угроз сводится, как правило, к нанесению того или иного  ущерба предприятию.

Проявления  возможного ущерба могут быть самыми различными:

- моральный  и материальный ущерб деловой  репутации организации;

- моральный,  физический или материальный  ущерб, связанный с

разглашением  персональных данных отдельных лиц;

- материальный (финансовый) ущерб от разглашения  защищаемой

(конфиденциальной) информации;

- материальный (финансовый) ущерб от необходимости  восстановления нарушенных защищаемых  информационных ресурсов;

- материальный  ущерб (потери) от невозможности  выполнения взятых на себя  обязательств перед третьей стороной;

- моральный  и материальный ущерб от дезорганизации  в работе всего

предприятия.

Непосредственный  вред от реализованной угрозы, называется воздействием угрозы.

Идентификация угроз предполагает рассмотрение воздействий  и последствий от реализации угроз. Обычно воздействие угроз приводит к раскрытию, модификации, разрушению информации или отказу в информационном обслуживании. Более значительные долговременные последствия реализации угрозы приводят к потере бизнеса, нарушению тайны, гражданских прав, потере адекватности данных, потере человеческой жизни  и иным долговременным эффектам.

Знание  возможных угроз, а также уязвимых мест защиты, необходимо, чтобы выбрать  наиболее экономичные средства обеспечения  безопасности. Самыми частыми и опасными, с точки зрения размеров ущерба, являются не угрозы даже, а непреднамеренные ошибки пользователей, операторов, системных  администраторов и других, обслуживающих  информационные системы лиц.

 

3. Методы, средства и  организация системы защиты информации в экономических информационных системах

 

Основные  методы и средства защиты информации.

При разработке АИТ возникает проблема по решению  вопроса безопасности информации, составляющей коммерческую тайну, а также безопасности самих компьютерных информационных систем.

Каждую  систему защиты следует разрабатывать  индивидуально, учитывая следующие  особенности:

- организационную  структуру организации;

- объем  и характер информационных потоков  (внутри объекта в целом, внутри  отделов, между отделами, внешних);

- количество  и характер выполняемых операций: аналитических и повседневных;

- количество  и функциональные обязанности  персонала;

- количество  и характер клиентов;

- график  суточной нагрузки.

Защита  должна разрабатываться для каждой системы индивидуально, но в соответствии с общими правилами. Построение защиты предполагает следующие этапы: