Информационная безопасность в современном мире

Введение

В настоящий момент в мире происходит глобальный процесс информатизации. Данный процесс затрагивает все сферы жизни человека. Одной из составляющих процесса информатизации является бурное внедрение сети Интернет в жизнь каждого из нас.
Колоссальные возможности предоставляют человечеству возможности компьютерной техники.
По данным статистики, имеющейся на ресурсах глобальной сети, дается информация о том, что порядка третьей части населения нашей планеты являются пользователями сети Интернет. Кроме того, говорится и о том, что ежеминутно появляется новый сайт. Каждую секунду по всему миру миллионы людей находятся в режиме «онлайн», обмениваясь сообщениями, просматривая видеоролики и т.д. Эти данные еще одно подтверждение тому, что сегодня Интернет стал для каждого не только виртуальным миром, но и частью реального мира, плотно войдя в жизнь каждого человека.
Сложно сказать, существует ли еще сфера деятельности человека, в которой бы не присутствовали информационные технологии. Пожалуй, такой сферы нет. Безусловно, внедрение информационных технологий в различных сферах позволило выйти человеческой цивилизации на новый уровень, предоставляя множество новых возможностей, позволяя автоматизировать огромное количество сложнейших процессов, тем самым облегчая нашу жизнь.
Однако, как говорится, за всё хорошее рано или поздно приходится платить.
Известно немало случаев в истории, когда достижения в науке и технике давали наряду с положительной стороной – отрицательные моменты. Стоит вспомнить биологическое оружие, или атомную бомбу, или отравляющие газы. Есть и другие примеры. Но что человечество имело в итоге?
Процесс информатизации такой эффект не обошел стороной. Сегодня во всем мире стоит проблема обеспечения информационной безопасности.
Как известно, во всем мировом экономическом пространстве главенствует такой фактор, как конкуренция. Еще в XIX веке династия Ротшильдов увековечила за собой фразу, которую мы слышим и по сей день: «Кто владеет информацией, тот владеет миром». Как правило, в конкурентной «гонке» принимаются всевозможные способы и средства, осуществляются различного рода действия, которые в большинстве случае направлены на возможность получения доступа к конфиденциальной информации.
Нарушение информационной безопасности происходит повсеместно – начиная от крупномасштабных операций, направленных на страну в целом, так и действий, по получению конфиденциальной информации отдельно взятого гражданина.
Уже с самого начала становления компьютерной эпохи перед разработчиками программного обеспечения стояла задача обеспечить программный продукт максимальным уровнем защищенности.
Проблемой нарушения информационной информации озадачены многие страны, поставив информационную безопасность в ряд главных задач по обеспечению безопасности своей страны.
Заметим, что в большинстве случаев, главными препятствиями на пути обеспечения информационной безопасности становится ее невысокая приоритетность в тот момент, когда происходит распределение ресурсов и бюджетные ограничения. Компании в большинстве случаев выделяют единый бюджет на удовлетворение всех потребностей по информационным системам (аппаратное и программное обеспечение, зарплата, консультанты и т.п.), что способствует развитию тенденции выделять основную часть средств на повышение производительности. При этом зачастую вопросы информационной безопасности либо остаются без внимания, либо им не уделяют должного внимания.
Именно в этих условиях значительное место занимают действия, направленные на осуществление максимальной защиты информации.
Информационная безопасность – довольно емкая и многогранная проблема, охватывающая не только определенные необходимости защиты информации, но и то, как ее защищать, от чего защищать, когда защищать, чем защищать и какой должна быть эта защита.
В связи с этим в данной работе предлагается к рассмотрению понятие информационной безопасности в современном мире.
Основной целью данной работы ставится получение сведений о том, что представляет собой информационная безопасность и какие меры принимаются для защиты конфиденциальных данных.
Для достижения данной цели необходимо решить следующие задачи:
- выяснить что такое информационная безопасность в трактовках разных авторов;
- дать определения понятий, касающихся информационной безопасности;
- рассмотреть модели информационной безопасности;
- наглядно рассмотреть модель системы информационной безопасности предприятия;
- выделить составляющие стандартной модели информационной безопасности;
- сформировать образ нарушителя информационной безопасности;
- выделить категории нарушителей;
- рассмотреть какие существуют угрозы информационной безопасности;
- рассмотреть способы и средства обеспечения информационной безопасности.
Работа состоит из введения, пяти глав, разделенных по тематическому принципу, заключения и списка литературы.
Для написания работы наибольшее внимание было уделено следующим литературным источникам:
- Астахова Л. В. Информационная безопасность: герменевтический подход / Л.В. Астахова. – М.: РАН, 2010. – 185 с.
- Бирюков А. А. Информационная безопасность: защита и нападение. – М.: ДМК Пресс, 2012. – 474 с.: ил.
- Резчиков Е. А., Голов В. А., Ткаченко Ю. Л., Герасин А. Н., Щербак Е. Г. Безопасность производственных систем: учебное пособие. - М.: МГИУ, 2006 г. - 156 с.
Кроме того были использованы источники сети Интернет.

1 Понятие информационной безопасности

Единого универсального определения понятию «информационная безопасность» на данный момент не существует. Разные литературные и электронные источники по своему трактуют данное понятие, в связи с этим предлагаются разные трактовки этого понятия.
Так, А. А. Стрельцов полагает, что информационная безопасность определяется защищенностью от угроз информации, информационной инфраструктуры, правового статуса субъектов информационной сферы, определяемого совокупностью их прав и обязанностей, а также деятельности по реализации национальных интересов в информационной сфере [1].
В. А. Тихонов, В. В. Райх под информационной безопасностью в широком смысле понимают «такую ситуацию в информационной сфере, которая гарантирует выявление, предупреждение, нейтрализацию и устранение всех негативных событий, явлений и процессов, возникающих в ходе информатизации, и обеспечивает дальнейшее развитие рассматриваемого объекта защиты (личности, общества, государства, предприятия и т.д.».
В Доктрине информационной безопасности РФ под информационной безопасностью Российской Федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства [2].
Стоит заметить, что в международной практике также не имеется единства во взглядах на понятие информационной безопасности. Выработано две позиции, которые принципиально несовместимы. Сторонники первой из них (США) настаивают на том, что информационная безопасность – это, в первую очередь, безопасность технических систем связи, защита информации и данных, в особенности результатов научных исследований, интеллектуальной собственности, сведений частного характера, противодействие криминальной и террористической деятельности. Противоположную позицию занимают те, кто рассматривает как принципиально важные военные аспекты информационной безопасности (основные сторонники – Россия и Китай).
Несмотря на существующие противоречия, вызовы современного глобализирующегося мира требуют взаимодействия и поиска компромиссных подходов к пониманию феномена информационной безопасности. Реальность сегодняшнего времени такова, что информационное воздействие представляется главным рычагом для осуществления управления людьми. Оно все в большей степени заменяет физическое воздействие, которое на протяжении тысяч лет считалось единственным и непременным средством управления». В связи с тем, что информационные технологии активно входят в нашу повседневную жизнь и происходит развитие коммуникации в сфере международной жизни возникли отношения, которые требуют адекватного реагирования и правового регулирования, в том числе и на международном уровне.
Информация и материальные ресурсы, которые следует защищать, называются объектами защиты. К таким ресурсам относится речевая информация, информация, хранимая и обрабатываемая посредством средств связи и информатизации в виде различных носителей информации, документы на бумажных носителях и т.д.
Под угрозой информационной безопасности понимают потенциально возможное происшествие, которое может оказать отрицательное воздействие на существующие бизнес-процессы компании, информационные системы, а также на информационные активы компании. При этом не важно, преднамеренным или нет, было данное происшествие
Рассматривая понятие информационной безопасности, стоит остановиться и на понятии «уязвимость информационной системы».
Уязвимость информационной системы – тот или иной ее недостаток, из-за которого представляется возможным нежелательное воздействие на нее со стороны злоумышленников, неквалифицированного персонала и вредоносного кода (к примеру, вирусов или шпионского программного обеспечения).
Информационная безопасность затрагивает и такое понятие, как риски, то есть возможность появления некоторой угрозы, которая так или иначе связана с текущей деятельностью компании [3]

.
Безусловно, рассмотрение понятия информационной безопасности не может существовать без рассмотрения одного из основных действующих лиц - нарушителя информационной безопасности.
Нарушитель – это лицо, которое умышленно или по неосторожности, невнимательности или по какой-либо другой неумышленной причине предприняло попытку подставить под угрозу информационную безопасность.
Таким образом, в данной главе мы рассмотрели основные понятия, касающиеся информационной безопасности.
 

2 Модели информационной безопасности

Если электронная информация так подвержена похищению, подмене или уничтожению, безусловно, ее необходимо тщательно защищать. Сегодня существует несколько моделей, предназначенных для защиты информации. В рамках данной работы предлагается рассмотреть несколько из них
Одна из самых ранних моделей является модель Биба (рисунок 1). В соответствии с данной моделью все субъекты и объекты рекомендуется разделить по уровням доступа, после чего ограничить их взаимодействия двумя условиями. Итак, субъект не сможет запустить на исполнение ни один субъект с более низким уровнем доступа. Помимо этого, субъект не имеет права на модификацию объектов с более высоким уровнем доступа.

Рисунок 1 - Модель Биба

Основной недостаток модели Биба состоит в том, чтоВведение

уровней целостности только ограничивает возможности доступа субъектов к объектам, создавая либо значительную изоляцию между уровнями целостности, либо после определения уровней целостности этот уровень может только понижаться, что само по себе лишает его управляемости, и как следствие функциональности. Еще одним недостатком является то, что область применения данной модели не выходит за пределы военных организаций [4].
Вторая модель, называемая моделью Гогера-Гезингера, появилась несколько позднее. Ее действие основано на теории автоматов. Так, в соответствии с этой теорией, система во время каждого действия может совершать переходы из одного разрешенного состояния в другое разрешенное состояние. В этом случае субъекты и объекты разбиваются на несколько групп - доменов. При переходе из одного состояния системы в другое благодаря использованию транзакций обеспечивается полная целостность системы.
Что касается Сазерлендской модели, в ней особое внимание уделяется взаимодействию субъектов с потоками информации. В ней используется так называемая машина состояний, с большим количеством разрешенных комбинаций состояний, а также стандартным набором начальных позиций.
Также важное место в теории защиты информации занимает модель Кларка-Вилсона, основанная на эффективном использовании транзакций и специфической настройкой прав доступа субъектов к объектам. Революционно новым в этой системе являлось то, что она принимает во внимание уровень защищенности стороны, занимающейся поддержкой системы безопасности. Транзакции в этой модели построены с использованием верификации до и после выполнения команды [5].
Несмотря на отсутствие видимых недостатков данной модели, к сожалению, есть недостаток и у этой модели. Модель Кларка-Вилсона зачастую не может быть реализована в жизни в полном объеме по причине отсутствия единой математической модели.
На рисунке 2 представлена модель системы информационной безопасности предприятия.


Рисунок 2 - Модель информационной безопасности предприятия
Представленная на рисунке 2 модель информационной безопасности представляет собой совокупность внешних и внутренних факторов, а также их влияние на состояние информационной безопасности в компании и на обеспечение сохранности ресурсов (материальных или информационных).
На рисунке пунктирными стрелками обозначено управляющее воздействие, а сплошными стрелками – естественное воздействие.
Прямоугольниками на рисунке представлены внешние и внутренние факторы.
Рассматриваются такие факторы как:
- угрозы информационной безопасности. Они характеризуются вероятностью возникновения и реализации;
- уязвимости системы информационной безопасности, влияющие на вероятность реализации угрозы;
- убытки, которые отражают реальный ущерб вследствие реализации угрозы информационной безопасности.
- риски, которые отражают предполагаемый ущерб организации вследствие реализации угрозы информационной безопасности [6].
В качестве стандартной модели безопасности часто приводят модель из трех категорий:
1.Конфиденциальность – состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право;
2.Целостность – избежание несанкционированной модификации информации. Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций);
3.Доступность – избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.


3 Нарушитель информационной безопасности

Попытка осуществить несанкционированный доступ к информационным сетям с целью что-либо сделать с данными в сети носит название компьютерное пиратство. Прослеживая это социальное явление, присутствует тенденция к стремительному росту атак на информационные сети. Как правило, компьютерных злоумышленников не интересует то, насколько качественно и грамотно осуществляется контроль за информационной системой, их цель – найти «узкое место» системы, т.е. то слабое место в системе, которое позволит получить желаемую добычу, в данном случае желаемой добычей выступает информация, как правило, конфиденциальная информация.
Используя различные методы и средства, злоумышленники осуществляют свое преступление. Как правило, как и любых преступник, нарушителей информационной безопасности, ничего не останавливает перед достижением заветной цели. Они могут использовать методы вымогательства или взяточничества. Сегодня существует небольшое количество предприятий, в которых высшее руководство верит в то, что их организация может понести убытки вследствие хакерских атак, а еще меньше которые интересовались вопросом угрозы информационной безопасности и проблемой защиты информации. Большое количество менеджеров под воздействием информационных волн считают, что нарушители это школьники, и против них нужно бороться [7].
Предлагаем разделить всех нарушителей на несколько групп. Нарушители внутри каждой из групп преследуют одну цель.
Первую группу составляют хакеры. Нарушители данной группы, как правило, нацелены на получение информации либо по чьему-то заказу, либо из-за своих интересов получения информации, нарушения целостности системы. Такие нарушители в большинстве своем профессионалы.
Ко второй группе отнесем искателей приключений. Нарушитель данной группы в большинстве случаев это молодой студент или школьник. В отличие от нарушителей из предыдущей группы он не имеет продуманного плана реализации атак, не имеет четкого представления о том, какую ответственность может понести за свои действия, в связи с этим может действовать неосторожно. Такой нарушитель выбирает случайную цель.
Третья группа – ненадежный сотрудник ¬– его действия могут иметь большие последствия, это связано с тем, что он представляется доверенным лицом системы. Ему не нужно придумывать и осуществлять сложные атаки для реализации своей цели.
Для сотрудника компании не нужно придумывать мотив для нарушения безопасности. Это могут быть
- реакция на замечание или выговор от руководителя,
- недовольство действиями начальника[8].
На рисунке 3 представлена модель нарушителя. Любой нарушитель имеет мотив для нарушения информационной безопасности, обладает некоторым уровнем квалификации (от начинающего до профессионала) и в зависимости от уровня квалификации имеет техническую вооруженность для осуществления атак.


Рисунок 3 - Нарушитель безопасности
На сегодняшний день 98,5% всех компьютерных атак грамотно спланированы, и данные атаки осуществляются людьми, которые знают сферу деятельности. Как правило, мотивом являются деньги. Все злоумышленники пытаются свести свой риск к минимуму [9]. В современных информационных системах, которые имеют достаточно сложные системы защиты и прочих методов совершения транспортировки информации, присутствует дополнительный риск, что с изменением какого-либо одного элемента системы может произойти сбой работы других элементов. В течение многих лет шпионаж реализуется как метод, вынуждающий идти сотрудников за низкое вознаграждение.
Итак, целью нарушителя информационной безопасности ставится нанесение материального, морального и иного ущерба собственникам информации в результате нарушения
- конфиденциальности информации (в результате происходит хищение и/или утрата информации);
- доступности информации (блокировка и уничтожение);
- целостности информации (в результате происходит модификация, отрицание целостности, навязывание ложной информации).
4 Угрозы информационной безопасности

Прежде чем рассматривать угрозы информационной безопасности еще раз обратимся к определению, данному в первой главе данной работы.
Под угрозой информационной безопасности понимают потенциально возможное происшествие, которое может произвести нежелательное воздействие на существующие бизнес-процессы компании, информационные системы, а вместе с тем и на информационные активы компании