Види загроз інформаційній безпеці

Розглянемо більш детально кожний з цих видів.

Загроза розкриття інформаційних ресурсів полягає у тому, що дані, інформація і знання стають відомими тим, кому не слід цього знати. У межах нашої роботи під загрозою розкриття розумітимемо такий стан, коли отриманий несанкціонований доступ до ресурсів системи, при чому йдеться як про відкриті, такі і ті ресурси, які мають обмежений доступ. Ці ресурси мають передаватися один одному і зберігатися у єдиній інформаційній системі.

Загроза порушення цілісності інформаційних ресурсів полягає в умисному антропогенному впливі (модифікація, видалення, зниження) даних, які зберігаються в інформаційній системі суб'єкта управління, а також передаються від даної інформаційної системи до інших.

Загроза збою в роботі самого обладнання може виникнути при блокуванні доступу до одного або декількох ресурсів інформаційної системи. Насправді блокування може бути постійним, так щоб ресурс, що запитується, ніколи не був отриманий, або може викликати затримання в отриманні ресурсу, що запитується, що є достатнім для того, щоб він став некорисним.

Відповідно до викладеного, розглянемо наступні загрози, які загрожують інформаційній безпеці. Розгляд даних загроз робиться з метою продемонструвати, що знання загроз і уразливих місць дозволить організувати адекватну систему управління інформаційною безпекою.

Найбільш частими та небезпечними є ненавмисні помилки користувачів, операторів, системних адміністраторів та інших осіб, які обслуговують інформаційні системи. Іноді такі помилки є загрозами (невірно введені дані, помилка в програмі, котра викликає колапс системи), іноді вони створюють ситуації, якими не лише можуть скористатися зловмисники, а які самі по собі становлять безпосередню небезпеку об'єкта. Яскравим прикладом є уведення невірної інформації в комп'ютер швейцарським оператором на землі, внаслідок чого у небі зіткнулося два літаки, в одному з яких летіли діти з Росії. Наслідки були трагічними як для пасажирів літака, так і для оператора, якого через деякий час після катастрофи було навмисно вбито.

У цілому ж, за результатами проведених фахівцями з інформаційної безпеки досліджень, понад 65 % шкоди, яка завдається інформаційним ресурсам, є наслідком ненавмисних помилок. Пожежі та землетруси, тобто загрози природного характеру, трапляються набагато рідше. Саме тому, доцільним є акцентування уваги на більшому впровадженні комп'ютерних систем для забезпечення безпеки. Плідною у даному контексті є пропонована програма Національним інститутом стратегічних досліджень "Електронна Україна""".

Наступними, за розміром шкоди, можна виділити крадіжки і підлоги, У більшості випадків, суб'єктами вчинення даних дій були штатні працівники цих організацій, які є добре обізнаними у роботі інформаційної системи, а також заходів безпеки*''.

У цьому аспекті дуже небезпечними є співробітники, які є незадоволеними або не поділяють цінностей тієї організації, де вони працюють. Одним з яскравих прикладів є дія колишнього генерала СБУ, одного з керівників ГУР України Валерія Кравченка, який 18 лютого 2004 року, маючи на руках матеріали з обмеженим доступом, безпідставно надав до них доступ іншим особам, зокрема журналістам Дойче Веле'"'.

У найбільш загальному плані діями ображених співробітників керує намагання нанести шкоду організації, в якій вони працювали, і яка, на їхню думку, їх образила. Така образа може знайти відображення у вчиненні наступних дій:

o пошкодження обладнання;

o вбудовування логічної бомби, яка з часом руйнує програми і дані;

o введення невірних даних;

o знищення даних;

o зміна даних;

o модифікація даних;

o надання доступу до даних із обмеженим доступом тощо. Ображені співробітники обізнані з порядками в організації і

здатні нашкодити вельми ефективно. Необхідно слідкувати за тим, щоб при звільненні співробітника його права доступу до інформаційних ресурсів були повністю обмежені, а після його звільнення змінені всі паролі доступу до внутрішньої мережі. Більш того, слід обмежити його спілкування із особами, які мають доступ до важливої інформації.

Окрім антропогенних, слід виділяти загрози природного характеру. Загрози природного характеру характеризуються великим спектром. По-перше, можна виділити порушення інфраструктури: аварії електроживлення, тимчасово відсутній зв'язок, перебої із водопостачанням тощо. Небезпечними також є стихійні лиха, землетруси, урагани, смерчі, бурани, тайфуни тощо. Загальна процентна кількість інформаційних загроз природного характеру за даними американських аналітиків становить приблизно 14 відсотків від загальної кількості.

Безперечно певну частку загроз становлять собою хакери, водночас їхня діяльність більше носить міфічний характер, а самі можливості хакерів є більше їхньою ж продукцією, яка лякає необізнаних. Насправді, щодня сервери органів державного управління підлягають атакам хакерів, водночас їхній загальний коефіцієнт шкоди порівняно зі шкодами іншого характеру вельми маленький.

Серйозною загрозою можуть бути програмні віруси. Водночас дотримання правил користування комп'ютерною технікою, а також наявність у штаті співробітників органу управління відповідного фахівця з даних питань значно полегшить розв'язання зазначених завдань.

Більш детально розглянемо класифікацію загроз. Отже, розкраданню підлягають:

o апаратні засоби (блоки, вузли і готові вироби), якими оснащуються комп'ютери і мережі;

o носії програмного забезпечення та інформації;

o тверді копії із роздрукованою інформацією. Розкрадання може бути організовано з:

o робочих місць користувачів;

o у момент транспортування;

o з місць збереження.

Джерелами помилок у програмному забезпеченні (ПЗ) можуть бути:

o логічні помилки розробників програмного забезпечення;

o непередбачені ситуації, які проявляються при модернізації, заміні чи додаванні нових апаратних засобів, встановленні нових додатків, виході на нові режими роботи ПЗ, появі раніше не зафіксованих нештатних ситуацій;

o віруси, якими інфіковані програми;

o спеціальні програмні компоненти, які передбачені розробниками ПЗ для різного роду цілей.

Віруси самі по собі також становлять небезпеку і можуть знаходити свій вияв у видаванні повідомлень на екран монітора; затиранні інформації на дисках; переміщенні фалів до інших папок; уповільненні роботи комп'ютера; зборі інформації про роботу організації тощо.

Зважаючи на компетенцію органів державного управління, на наш погляд загрози атаки на їх інформаційні системи може здійснюватися з метою:

o встановлення доступу до інформації з обмеженим доступом;

o викрадення ключів, паролів, ідентифікаторів, списку користувачів;

ініціалізація контрольованого алгоритму роботи комп'ютерної системи;

o приведення у непридатність частини або всієї системи органів державного управління.

Відповідно виділяють і види загроз. Через їх чисельність нами була зроблена спроба, з урахуванням існуючих напрацювань щодо питань класифікації загроз національній безпеці, виокремити загрози інформаційній безпеці.

За джерелами походження:

o природного походження - включають в себе небезпечні геологічні, метеорологічні, гідрологічні морські та прісноводні явища, деградацію ґрунтів чи надр, природні пожежі, масове ураження сільськогосподарських рослин і тварин хворобами чи шкідниками, зміна стану водних ресурсів і біосфери тощо;

o техногенного походження - транспортні аварії (катастрофи), пожежі, неспровоковані вибухи чи їх загроза, раптове руйнування каналів зв'язку, аварії на інженерних мережах і спорудах життєзабезпечення, аварії головних серверів органів державного управління тощо;

o антропогенного походження - вчинення людиною різноманітних дій з руйнування інформаційних систем, ресурсів, програмного забезпечення об'єкта тощо. До цієї групи за змістом дій належать: ненавмисні, викликані помилковими чи ненавмисними діями людини (це, наприклад, може бути помилковий запуск програми, ненавмисне інсталяція закладок тощо); навмисні (інспіровані), що стали результатом навмисних дій людей (наприклад: навмисне інсталяція програм, які передають інформацію на інші комп'ютери, навмисне введення вірусів тощо).

За ступенем гіпотетичної шкоди:

o загроза явні чи потенційні дії, які ускладнюють або унеможливлюють реалізацію національних інтересів в інформаційній сфері та створюють небезпеку для системи державного управління, життєзабезпечення її системостворюючих елементів;

o небезпека - безпосередня дестабілізація функціонування системи державного управління.

За повторюваністю вчинення:

o повторювані - такі загрози, які раніше вже мали місце;

o продовжувані - неодноразове здійснення загроз, що складається з ряду тотожних, які мають спільну мету.

За сферами походження:

o екзогенні - джерело дестабілізації системи лежить поза її межами;

o ендогенні - алгоритм дестабілізації системи перебуває у самій системі.

За ймовірністю реалізації:

o імовірні - такі загрози, які за виконання певного комплексу умов обов'язково відбудуться. Прикладом може слугувати оголошення атаки інформаційних ресурсів суб'єкта забезпечення національної безпеки, яке передує самій атаці;

o неможливі - такі загрози, які за виконання певного комплексу умов ніколи не відбудуться. Такі загрози зазвичай мають більше декларативний характер, не підкріплений реальною і, навіть, потенційною можливістю здійснити проголошені наміри, вони здебільшого мають залякуючий характер;

o випадкові - такі загрози, які за виконання певного комплексу умов кожного разу протікають по-різному. Загрози даного рівня доцільно аналізувати за допомогою методів дослідження операцій, зокрема теорії ймовірностей і теорії ігор, які вивчають закономірності у випадкових явищах.

За рівнем детермінізму:

o закономірні - такі загрози, які носять стійкий, повторюваний характер, що зумовлені об'єктивними умовами існування та розвитку системи інформаційної безпеки. Так, наприклад, будь-який суб'єкт ЗНБ буде піддаватись інформаційним атакам, якщо в ньому не функціонує, або функціонує не на належному рівні система забезпечення інформаційної безпеки;

o випадкові - такі загрози, які можуть або трапитися, або не трапитися. До таких загроз належать загрози хакерів дестабілізувати інформаційні системи суб'єктів ЗНБ, РНБОУ.

За значенням:

допустимі - такі загрози, які не можуть призвести до колапсу системи. Прикладом можуть слугувати віруси, які не пошкоджують програми шляхом їх знищення;

недопустимі - такі загрози, які: 1) можуть у разі їх реалізації призвести до колапсу і системної дестабілізації системи; 2) можуть призвести до змін, не сумісних із подальшим існуванням СНБ. Так, наприклад, вірус "і love you", спричинив пошкодження комп'ютерних систем у багатьох містах світу, і завдав загального збитку біля 100 мільйонів доларів США. За структурою впливу:

o системні - загрози, що впливають одразу на всі складові елементи суб'єкта ЗНБ. Цей вплив має відбуватись одночасно в декількох найбільш уразливих і важливих місцях. Для суб'єкта ЗНБ це може бути цілеспрямована дискредитація їхніх працівників через телебачення, радіомовлення, друковані засоби масової інформації, Інтернет. Яскравим прикладом була спроба системної дестабілізації у лютому 2003 року, коли Президент України Л. Кучма мав відвідати з офіційним візитом канцлера Німеччини Г.Шрьодера. Дещо нагадаємо події того часу. За тиждень до приїзду Президента України до міста, де мала відбутися зустріч посадовців прибуває майор Мельниченко і, як завжди, починає висвітлювати "нові факти", які розкривають "злочинний правлячий режим Л. Кучми". Одночасно з цим генерал СБУ офіцер безпеки посольства України в Німеччині відмовляється повернутися на Батьківщину, більш того, починає також давати умовно відверті коментарі із демонстрацією документів з обмеженим доступом німецькій радіохвилі. У цей же час в Інтернеті опозиційними силами також влаштовується нагнітання обстановки, яка дуже яскраво коментує події в Німеччині, при чому із такою обізнаністю і витонченістю, що все це видає дуже гарно сплановану виставу. Ці події відбуваються за межами України, у той час як всередині країни опозиція починає влаштовувати також демонстративні акти, щоб привернути увагу світової спільноти до внутрішніх подій суверенної держави. Таким чином, спланована інформаційна провокація велася на системному рівні, тобто впливу були піддані життєво важливі елементи системи безпеки країни. Однак з урахуванням вже існуючих напрацювань, а також того факту, що українська влада усвідомила власну уразливість з боку інформаційних агресорів, були розроблені та впроваджені адекватні заходи нейтралізації і проведені відповідні інформаційні операції, які врешті-решт принесли позитивний результат, імідж нашої країни не було спаплюжено, а зустріч голів високих посадових осіб України та Німеччини відбулася у запланованих параметрах;

o структурні - загрози, що впливають на окремі структури системи. Дані загрози є також небезпечними, водночас вони стосуються структури окремих органів державної влади або їх компонентів. Так, наприклад, під час порушень процедури виборів мера м. Мукачево весною 2004 року була дискредитована як місцева влада, тобто нижня ланка системи державного управління, так і Міністерство внутрішніх справ України, тобто середня ланка і важливий суб'єкт забезпечення національної безпеки країни;

* елементні - загрози, що впливають на окремі елементи структури системи. Дані загрози носять постійний характер і можуть бути небезпечними лише за умови неефективності або непроведення їх моніторингу. Так, наприклад, свого часу, наприкінці 60 років XX століття, коли в Італії діяли так звані "Червоні бригади", влада не приділяла достатньо уваги діям терористів, які спочатку погрожували, а згодом почали фізично ліквідовувати усіх суддів, які виносили звинувачувальні вироки терористам. Жертвою халатності та неадекватної оцінки інформаційної загрози став і тодішній прем'єр-міністр Італії Альдо Моро, якого було попереджено заздалегідь про напад, водночас влада не вжила відповідних заходів і його було викрадено, а згодом і вбито. Теж саме стосується подій із вчиненням актів тероризму 11 вересня 2001 року, про які американські спецелужби було попереджено заздалегідь, втім вони не сприйняли інформацію як достовірну.

(За характером реалізації:

o реальні - активізація алгоритмів дестабілізації є неминучою і не обмежена часовим інтервалом і просторовою дією;

o потенційні - активізація алгоритмів дестабілізації можлива за певних умов середовища функціонування органу державного управління;

o здійснені - такі загрози, які втілені у життя;

o уявні - псевдоактивізація алгоритмів дестабілізації, або ж активізація таких алгоритмів, що за деякими ознаками схожі з алгоритмами дестабілізації, але такими не є.

За ставленням до них:

o об'єктивні - такі загрози, які підтверджуються сукупністю обставин і фактів, що об'єктивно характеризують навколишнє середовище. При цьому ставлення до них суб'єкта управління не відіграє вирішальної ролі через те, що об'єктивні загрози існують незалежно від волі та свідомості суб'єкта. Так, прикладом, хоча український законодавець у Законі України "Про основи національної безпеки України" не визначив пріоритетність захисту від інформаційних загроз, відвівши їм найменшу увагу, насправді їх значення є непересічним, і акцентування уваги на інших загрозах призводить постійно до разючих помилок в сфері саме інформаційній;

o суб'єктивні - така сукупність чинників об'єктивної дійсності, яка вважається суб'єктом управління системою безпеки загрозою. За даного випадку визначальну роль у ідентифікації тих чи інших обставин та чинників відіграє воля суб'єкта управління, який і приймає безпосереднє рішення про надання статусу або ідентифікації тих чи інших подій в якості загроз безпеці. За об'єктом впливу:

o На державу;

o На людину;

o На суспільство.

За формами закріплення:

нормативні - офіційно усвідомлені і визнані як такі в нормативних актах країни. В Україні, наприклад, дані загрози визначені в Законі України "Про основи національної безпеки України" Росії - у "Доктрині інформаційної безпеки";

ненормативні - існують об'єктивно, але не є усвідомленими вищим політичним керівництвом держави і не знайшли адекватного віддзеркалення у нормативній системі держави.

У даній класифікації ми намагалися продемонструвати багатоманітність і неоднаковість, багатошаровість і певну нескінченість загроз та небезпек інформаційній безпеці, які є адекватними часу і простору, темпам розвитку суспільства.

4.

Інформаційна безпека — стан захищеності життєво важливих інтересів людини, суспільства і держави, при якому запобігається нанесення шкоди через: неповноту, невчасність та невірогідність інформації, що використовується; негативний інформаційний вплив; негативні наслідки застосування інформаційних технологій; несанкціоноване розповсюдження, використання і порушення цілісності, конфіденційності та доступності інформації

Об'єктивно категорія «інформаційна безпека» виникла з появою засобів інформаційних комунікацій між людьми, а також з усвідомленням людиною наявності у людей і їх співтовариств інтересів, яким може бути завданий збитку шляхом дії на засоби інформаційних комунікацій, наявність і розвиток яких забезпечує інформаційний обмін між всіма елементами соціуму.

Враховуючи вплив на трансформацію ідей інформаційної безпеки, в розвитку засобів інформаційних комунікацій можна виділити декілька етапів:

I етап — до 1816 року — характеризується використанням природно виникаючих засобів інформаційних комунікацій. В цей період основне завдання інформаційної безпеки полягало в захисті відомостей про події, факти, майно, місцезнаходження і інші дані, що мають для людини особисто або співтовариства, до якого вона належала, життєве значення.

II етап — починаючи з 1816 року — пов'язаний з початком використання штучно створюваних технічних засобів електро- і радіозв'язку. Для забезпечення скритності і перешкодостійкості радіозв'язку необхідно було використовувати досвід першого періоду інформаційної безпеки на вищому технологічному рівні, а саме застосування перешкодостійкого кодування повідомлення (сигналу) з подальшим декодуванням прийнятого повідомлення (сигналу). етап — починаючи з 1935 року — пов'язаний з появою засобів радіолокацій і гідроакустики. Основним способом забезпечення інформаційної безпеки в цей період було поєднання організаційних і технічних заходів, направлених на підвищення захищеності засобів радіолокацій від дії на їх приймальні пристрої активними маскуючими і пасивними імітуючими радіоелектронними перешкодами.

IV етап — починаючи з 1946 року — пов'язаний з винаходом і впровадженням в практичну діяльність електронно-обчислювальних машин (комп'ютерів). Завдання інформаційної безпеки вирішувалися, в основному, методами і способами обмеження фізичного доступу до устаткування засобів добування, переробки і передачі інформації.

V етап — починаючи з 1965 року — обумовлений створенням і розвитком локальних інформаційно-комунікаційних мереж. Завдання інформаційної безпеки також вирішувалися, в основному, методами і способами фізичного захисту засобів добування, переробки і передачі інформації, об'єднаних в локальну мережу шляхом адміністрування і управління доступом до мережевих ресурсів.

VI етап — починаючи з 1973 року — пов'язаний з використанням надмобільних комунікаційних пристроїв з широким спектром завдань. Загрози інформаційній безпеці стали набагатосерйознішими. Для забезпечення інформаційної безпеки в комп'ютерних системах з безпровідними мережами передачі даних потрібно було розробити нові критерії безпеки. Утворилися співтовариства людей — хакерів, що ставлять собі за мету нанесення збитку інформаційній безпеці окремих користувачів, організацій і цілих країн. Інформаційний ресурс став найважливішим ресурсом держави, а забезпечення його безпеки — найважливішою і обов'язковою складовою національної безпеки. Формується інформаційне право — нова галузь міжнародної правової системи.

VII етап — починаючи з 1985 року — пов'язаний із створенням і розвитком глобальних інформаційно-комунікаційних мереж з використанням космічних засобів забезпечення. Можна припустити що черговий етап розвитку інформаційної безпеки, очевидно, буде пов'язаний з широким використанням надмобільних комунікаційних пристроїв з широким спектром завдань і глобальним охопленням у просторі та часі, забезпечуваним космічними інформаційно-комунікаційними системами. Для вирішення завдань інформаційної безпеки на цьому етапі необхідним є створення макросистеми інформаційної безпеки людства під егідою ведучих міжнародних форумів.

5.

Поиск по сайту: