Ohrožení bezpečnosti informací
Aktuální verze stránky ještě nebyla zkontrolována zkušenými přispěvateli a může se výrazně lišit od
verze recenzované 30. května 2015; kontroly vyžadují
57 úprav .
Ohrožení bezpečnosti informací – soubor podmínek a faktorů, které vytvářejí nebezpečí narušení bezpečnosti informací . [jeden]
Hrozbou (obecně) se rozumí potenciálně možná událost, jednání (dopad), proces nebo jev, který může vést k poškození něčích zájmů.
Klasifikace
Hrozby informační bezpečnosti lze klasifikovat podle různých kritérií:
- Podle aspektu informační bezpečnosti, na který jsou hrozby zaměřeny:
- Ohrožení důvěrnosti (neoprávněný přístup k informacím). Hrozba porušení důvěrnosti spočívá v tom, že se informace dozví někdo, kdo k nim nemá oprávnění. Dochází k němu, když je získán přístup k některým omezeným informacím uloženým v počítačovém systému nebo přenášeným z jednoho systému do druhého. V souvislosti s hrozbou porušení mlčenlivosti se používá termín „únik“. Takové hrozby mohou vzniknout v důsledku „lidského faktoru“ (například náhodné delegování práv jiného uživatele jednomu nebo jinému uživateli), selhání softwaru a hardwaru. Informace s omezeným přístupem zahrnují státní tajemství [2] a důvěrné informace [3] (obchodní tajemství, osobní údaje, profesní druhy tajemství: lékařské, právní, bankovní, kancelářské, notářské, pojišťovací, vyšetřovací a soudní řízení, korespondence, telefonické rozhovory, poštovní zásilek, telegrafických či jiných zpráv (komunikační tajemství), informace o podstatě vynálezu, užitném vzoru nebo průmyslovém vzoru před oficiálním zveřejněním (know-how) apod.).
- Ohrožení integrity (nesprávná úprava dat). Hrozby integrity jsou hrozby spojené s možností modifikace té či oné informace uložené v informačním systému. Narušení integrity může být způsobeno různými faktory – od záměrného jednání personálu až po selhání zařízení.
- Ohrožení přístupnosti (realizace akcí, které znemožňují nebo ztěžují přístup ke zdrojům informačního systému). Narušení dostupnosti je vytvoření takových podmínek, za kterých bude přístup ke službě nebo informacím buď zablokován nebo možný na dobu, která nezajistí splnění určitých obchodních cílů.
- Podle umístění zdroje hrozby:
- Interní (zdroje hrozeb se nacházejí uvnitř systému);
- Externí (zdroje hrozeb jsou mimo systém).
- Pokud jde o způsobenou škodu:
- Obecné (způsobení poškození bezpečnostního objektu jako celku, způsobení značné škody);
- Místní (způsobující poškození jednotlivých částí objektu zabezpečení);
- Soukromé (způsobující poškození jednotlivých vlastností prvků bezpečnostního objektu).
- Podle míry dopadu na informační systém:
- Pasivní (struktura a obsah systému se nemění);
- Aktivní (struktura a obsah systému se mohou změnit).
- Podle povahy výskytu:
- Přirozené (objektivní) - způsobené dopadem na informační prostředí objektivních fyzikálních procesů nebo přírodních jevů, které nezávisí na vůli člověka;
- Umělé (subjektivní) - způsobené dopadem na informační sféru člověka. Mezi umělé hrozby zase patří:
- Neúmyslné (náhodné) ohrožení - chyby v softwaru, personálu, poruchy v provozu systémů, poruchy výpočetních a komunikačních zařízení;
- Úmyslné (úmyslné) hrozby - nelegální přístup k informacím, vývoj speciálního softwaru sloužícího k nelegálnímu přístupu, vývoj a distribuce virových programů atd. Úmyslné hrozby jsou způsobeny jednáním lidí. Hlavní problémy informační bezpečnosti souvisejí především s úmyslnými hrozbami, protože jsou hlavní příčinou trestných činů a trestných činů [4] .
Klasifikace zdrojů hrozeb informační bezpečnosti
Zdrojem hrozeb jsou nositelé hrozeb pro informační bezpečnost. Zdrojem ohrožení mohou být jak subjekty (osobnostní), tak i objektivní projevy, např. konkurenti, kriminálníci, korupčníci, správní a řídící orgány. Zdroje hrozeb sledují následující cíle: seznámení se s chráněnými informacemi, jejich modifikace pro žoldnéřské účely a zničení za účelem přímé materiální škody.
- Všechny zdroje hrozeb informační bezpečnosti lze rozdělit do tří hlavních skupin:
- Způsobené jednáním subjektu (antropogenní zdroje) - subjektů, jejichž jednání může vést k narušení bezpečnosti informací, lze toto jednání kvalifikovat jako úmyslné nebo náhodné trestné činy. Zdroje, jejichž jednání může vést k narušení informační bezpečnosti, mohou být jak externí, tak interní. Tyto zdroje lze předvídat a přijmout adekvátní opatření.
- Způsobené technickými prostředky (technogenními zdroji) – tyto zdroje ohrožení jsou méně předvídatelné, přímo závisí na vlastnostech technologie a vyžadují proto zvláštní pozornost. Tyto zdroje ohrožení bezpečnosti informací mohou být také interní i externí.
- Přírodní zdroje – tato skupina zahrnuje okolnosti představující vyšší moc (přírodní katastrofy nebo jiné okolnosti, které nelze předvídat nebo jim zabránit nebo je předvídat, ale nelze jim zabránit), takové okolnosti, které jsou objektivní a absolutní povahy, které se týkají každého. Takové zdroje hrozeb jsou zcela nepředvídatelné, a proto by proti nim měla být vždy uplatňována opatření. Přírodní zdroje jsou ve vztahu k chráněnému objektu zpravidla vnější a jsou zpravidla chápány jako přírodní katastrofy. [5] [6]
Model ohrožení
Pro analýzu bezpečnosti konkrétního informačního systému je vytvořen popis existujících hrozeb IS, jejich relevance, proveditelnost a důsledky - model hrozeb.
V současné době má Rusko metodiku hodnocení hrozeb informační bezpečnosti přijatou FSTEC Ruska dne 5. února 2021 [7] , která nahradila Metodu zjišťování skutečných hrozeb pro bezpečnost osobních údajů při jejich zpracování v informačních systémech osobních údajů (FSTEC Ruska, 2008) a Metodika pro stanovení skutečných hrozeb pro informační bezpečnost v systémech klíčové informační infrastruktury (FSTEC Ruska, 2007).
S vydáním příkazu FSTEC č. 17 ze dne 4. března 2017 [8] je používání databáze hrozeb FSTEC [9] povinné. Tyto dvě skutečnosti vytvořily základ pro vytvoření specializovaného softwaru pro modelování implementace hrozeb informační bezpečnosti v informačních systémech. V současné době je veřejnosti prezentována řada vědeckých publikací [10] [11] [12] a komerčních novinek [13] , které přispívají k automatizaci tvorby modelu hrozby.
V současné době (konec roku 2021) drtivá většina softwaru modeluje výskyt hrozeb na základě zastaralé metodiky (model hrozeb 2008 nebo model hrozeb návrhu 2015).
Poznámky
- ↑ GOST R 50922-96 . (neurčitý)
- ↑ Zákon Ruské federace ze dne 21. července 1993 N 5485-I „O státních tajemstvích“ (se změnami a doplňky) . base.garant.ru. Staženo: 20. prosince 2016. (neurčitý)
- ↑ Výnos prezidenta Ruské federace ze dne 3. 6. 1997 N 188 „O schválení seznamu důvěrných informací“ (se změnami a doplňky) . base.garant.ru. Staženo: 20. prosince 2016. (neurčitý)
- ↑ Blinov A. M. Informační bezpečnost: Proc. příspěvek. 1. díl / A. M. Blinov.-SPb.: SPbGUEF, 2010. - 96 s.
- ↑ Základy informační bezpečnosti: učebnice. příspěvek / Yu G. Krat, I. G. Shramková. - Khabarovsk: Publishing House of the Far East State University of Transportation, 2008. −112 s.
- ↑ Informační bezpečnost: Učebnice pro vysokoškoláky. - M .: Akademický projekt; Gaudeamus, 2. vyd. - 2004. - 544 s.
- ↑ Metodický dokument. Schváleno FSTEC Ruska dne 5. února 2021 - FSTEC Ruska . fstec.ru _ Datum přístupu: 17. prosince 2021. (neurčitý)
- ↑ Nařízení FSTEC Ruska ze dne 11. února 2013 N 17 - FSTEC Ruska . fstec.ru _ Datum přístupu: 17. prosince 2021. (neurčitý)
- ↑ BDU - Hrozby . bdu.fstec.ru _ Datum přístupu: 17. prosince 2021. (neurčitý)
- ↑ Alexandr Sergejevič Bolšakov, Dmitrij Igorevič Rakovskij. Software pro modelování hrozeb informační bezpečnosti v informačních systémech // Právní informatika. - 2020. - Vydání. 1 . — ISSN 1994-1404 1994-1404, 1994-1404 . - doi : 10.21681/1994-1404-2020-1-26-39 . (Ruština)
- ↑ M. I. Ozhiganova, A. O. Egorova, A. O. Mironova, A. A. Golovin. automatizace volby opatření k zajištění bezpečnosti objektu CII odpovídající kategorie významnosti při sestavování modelu ohrožení (ruština) // M .: Elektrárny a technologie .. - 2021. - V. 7 , č. 2 . - S. 130-135 .
- ↑ Yu. F. Katorin, I. V. Iljin, R. A. Nurdinov. Automatizace procesu formování modelu hrozby pro informační systémy (ruština) // Informační řídicí systémy a technologie: Sborník příspěvků ze IV. mezinárodní vědecké a praktické konference (IUST-ODESSA-2015), Oděsa, 22.–24. září 2015 / Odessa National Maritime University, Volzhsky State University of Water Transport, State University of Sea and River Fleet pojmenovaná po admirálu S.O. Makarov, Kharkiv National University of Radio Electronics, Odessa National Polytechnic University, National University of Shipbuilding pojmenovaná po admirálovi S.O. Makarov. - Oděsa: Makarová. - 2015. - S. 161-164 .
- ↑ Platforma R-Vision pro reakci na incidenty (ruština) ? . R Vision . Datum přístupu: 17. prosince 2021. (neurčitý)
Literatura
- Gatchin Yu. A., Sukhostat VV Teorie informační bezpečnosti a metodologie ochrany informací. - Petrohrad. : St. Petersburg State University ITMO, 2010. - 98 s.
- Makarenko S. I. Informační bezpečnost: učebnice pro vysokoškoláky. - Stavropol: SF MGGU im. M. A. Sholokhova, 2009. - 372 s.
Viz také