Модели нарушителя безопасности персональных данных

Введение

Системы обработки информации с каждым днем приобретают популярность и применяются повсеместно.
Современные информационные системы (ИС) предназначаются для обеспечения работоспособности всей информационной инфраструктуры организации, а также предоставления различных типов информационных сервисов, реализация автоматизации производственной и финансовой деятельности, бизнес-процессов организации, имеют возможность сократить временные, финансовые и трудовые затраты.
Стоит отметить, что в ИС хранятся и могут обрабатываться значительные объемы данных разной степени секретности, в результате остро стоит вопрос по защищенности этих ИС от угроз безопасности информации.
При этом, определение угроз безопасности, что актуальны для конкретной ИС, лает возможность разрабатывать и создавать системы защиты информации.
Под эффективной системой защиты конфиденциальной информации понимают такой случай, когда нейтрализуются актуальные угрозы для ее безопасности.
Существуют 3 основных этапа разработки системы защиты информации (сокращенно СЗИ):
–предпроектное обследование;
–проектирование СЗИ;
–непосредственное внедрение СЗИ.
Самым основополагающим этапом для создания СЗИ является обследование (аудит) ИС, что включает несколько этапов.
Модель вероятного нарушителя уровня безопасности ИС необходима непосредственно для систематизации информации по типам и возможностям субъектов, целях выполнения несанкционированных воздействий и выработки разного рода адекватных технических и организационных мер противодействия.

1.Основные понятия теории защиты информации
Список самых главных уязвимостей для современных информационных технологий (ИС) не претерпел какого-то большого изменения за последние несколько лет. Выполнив анализ средств, что выполняют обеспечение безопасности ИТ, а также просмотрев архитектуру ПО, разные инциденты с безопасностью, многие известные уязвимости, выделим причины возникновения таких ситуаций:[5]
–проблемами обеспечения безопасности для средств разрабатываемых программ в основном занимаются только фирмы, что их и производят;
–прикладные программисты, а также администраторы не всегда особенное внимание уделяют вопросам безопасности;
–разные масштабы, виды хранимых данных часто требуют всегда разнообразных подходов для реализации требуемого уровня безопасности ИТ;
–все самые разные версии ПО используют для своей работы также разные структуры ЯП при доступе к требуемой информации, что базируются на такой же платформе;
–появляются новые типы и форматы моделей структуризации, принципы для хранения данных.
Хранилища в объемных данных включают 2 такие компоненты, а именно: [4]
–хранимые данные (БД);
–программы для их упорядочивания, ввода и других операций (СУБД).
Обеспечение уровня безопасности данных невозможно реализовать без обеспечения управления ими.
Стоит отметить, что все уязвимости и вопросы по поддержке безопасности СУБД разделяются на 2 основные категории, такие как:
–зависящие от применяемой в БД информации;
–прямо и непосредственно не зависящие от них.
Все уязвимости, которые по своей сущности не могут зависят от данных, являются также типичными для всех других видов ПО. [8]
Причиной угрозы может также являться несвоевременное или же полностью некорректное обновление ПО, а также выявление многих неиспользуемых в БД функций, недостаточная квалификация разработчиков и администраторов, которые работают непосредственно с БД.
Большинство таких аспектов, что относятся также к безопасности СУБД является зависящими в некотором роде от всей хранимой информации

. В то же время рассмотренные уязвимости являются также в некоторой степени и зависимыми от данных, что используются.
Приведем пример, основной перечень СУБД поддерживает использование запросов для данных с описанием их на языке для организации запросов и манипуляции данными, который содержит самые разные наборы доступных для пользователей встроенных функций или же любые функции для ЯП высокого уровня. [3]
Разные модели данных определяют все особенности языка, который будет использоваться в БД, а также и наличие в нем самых разных типов уязвимостей.
Причем такие рассмотренные уязвимости, к примеру, инъекции, можно выполнять разными методами в зависимости от их синтаксиса.
Рассмотрим далее основные требования, которые выдвигаются для безопасности БД.
При этом на основе такого разделения всех уязвимостей можно выделять и другие независящие или же зависящие от хранимых данных меры для обеспечения требуемого уровня безопасности.
Не зависящими называются такие требования к непосредственно безопасной работе:[8]
Функционирование только в специальной доверенной зоне.
Под доверенной зоной часто понимают инфраструктуру некоторой организации, другие ее защитные инструменты и механизмы, что обусловлены разными политиками безопасности. В казанном случае речь идет также и о работе ПО, когда при некоторых правилах для безопасности используются разные подсистемы организаций.[6]
Организация физического уровня поддержки безопасности для любых файлов и данных.
Требования физической безопасности файлов, что вовсе не отличаются от самых основных условий, применимых к другим файлам или же пользователям.
Организация безопасной, актуальной настройки для ПО.
Рассмотренные основные требования включают главные задачи по обеспечению безопасности:
–отключение неиспользуемых функций;
–своевременная установка обновлений ПО;
–применение политики парольного доступа и т.п.
Рассмотрим требования, что зависят от данных:[10]
Безопасность пользовательских программ.
В указанную категорию можно отнести самые разные задачи для реализации разного рода безопасных пользовательских интерфейсов, инструментов для организации доступа к базе данным.
Безопасная организация обращения к данным.
Вопросы по организации всех данных, а также и управления ими являются самыми ключевыми в системах для обеспечения уровня хранения информации. В указанную область входят самые разные задачи по реализации информации с обеспечением целостности, специфичные для современных СУБД трудности в сфере безопасности.
Основные аспекты для создания безопасных БД.
Для реализации решения всех обозначенных проблем по обеспечению безопасности в СУБД нужно перейти с метода закрытия для отдельных уязвимостей к некоторому комплексному подходу для разрешения проблемы безопасности БД.[2]
Классификации таких уязвимостей, угроз СУБД позволяет упорядочивать их при последующем анализе и реализации выполнения мероприятий по защите данных