Направления защиты информации. Конфиденциальность, целостность сообщения, аутентичность, аппелируемость.

Управление рисками необходимо для того, чтобы обеспечить возможность использования внутренних приложений, сведения к минимуму угрозы вторжения злоумышленника и раскрытия конфиденциальных данных. После идентификации угроз и рисков, направленных на системы требуется рассмотреть контрмеры. Выбор контрмер должен производиться исходя из принципа разумной достаточности, то есть стоимость реализации контрмеры не должна превышать количественную величину убытков. Таким образом, после идентификации контрмер требуется принять решение о действии над риском: предотвратить его, ограничить или принять (то есть не предпринимать никаких мер для снижения величины риска). Система защиты должна обеспечивать следующие характеристики информации:

конфиденциальность – гарантия того, что конкретная информация доступна только тому кругу лиц, для кого она предназначена; нарушение этой категории называется хищением либо раскрытием информации;

целостность – гарантия того, что информация сейчас существует в ее исходном виде, то есть при ее хранении или передаче не было произведено несанкционированных изменений; нарушение этой категории называется фальсификацией сообщения;

аутентичность – гарантия того, что источником информации является именно то лицо, которое заявлено как ее автор; нарушение этой категории называется фальсификацией автора сообщения;

апеллируемость – гарантия того, что при необходимости можно будет доказать, что автором сообщения является именно заявленный человек и не может являться никто другой; отличие этой категории от предыдущей в том, что при подмене автора третье лицо пытается заявить, что оно - автор сообщения, а при нарушении апеллируемости – сам автор пытается отказаться от своего авторства.

Основными принципами построения системы защиты являются:

1. применение комбинированных аппаратно-программных средств;

2. использование криптографических средств, имеющих соответствующие сертификаты.

Создание комплексных систем безопасности — обязательный сопутствующий фактор при реализации информационных систем любой сложности. Однако при создании системы информационной безопасности неизменно встает вопрос о целесообразности затрат на предлагаемые контрмеры. Ввиду отсутствия четких методик обоснования затрат процесс формирования системы информационной безопасности тормозится до принятия руководством организации решения о целесообразности (или нецелесообразности) подобных затрат.

Каждая угроза имеет вероятность ее проявления в рассматриваемой организации. Каждая угроза может иметь определенные убытки от ее реализации за период в один год. При этом следует принимать во внимание ряд моментов. При случайных реализациях угроз (например, при операционных ошибках или ошибках программирования) убытки зависят от времени простоя системы. При реализации угроз природного характера убытков рассчитывается исходя из нанесенного имущественного ущерба и времени простоя. При реализации угроз промышленного характера (например, выход из строя оборудования) убытки основывается на приблизительной стоимости запуска системы и стоимости времени простоя системы.