5.1.2. Ақпараттың қауіпсіздігінің қасақана қатерлерінің түрлері

Пассивті (баяу) қатерлер байланыс арналарын тыңдауға, мәліметтер базаларына санкцияланбаған қолжетімділікке, бұл жерде оның міндеттеріне әсер етпей, негізінен АЖ ақпараттық ресурстарын санкцияланбаған пайдалануға бағытталған.

Активті (белсенді) қатерлерде АЖ қалыпты қызмет істеуін бұзу мақсатымен оның компоненттеріне мақсатты бағытталу жолымен әсер ету болады. Активті қатерлерге жататындары, мысалы, компьютердің немесе оның операциялық жүйесінің істен шығуы, ДҚ-дағы мәліметтердің бұрмалануы, компьютерлердің ПҚ бұзылуы,байланыс желісінің жұмысының істен шығуы. Активті қатерлердің көздері қарақшылардың әрекеттерінен, зиянды программалардан және т.б. болуы мүмкін.

Қасақана қатерлер ішкі (басқарылатын ұйымның ішінде туындаған) және сыртқы болып бөлінеді.

Ішкі қатерлер көбінесе ұйымдағы әлеуметтік шиеленіспен және ауыр моралдық климатпен анықталады.

Сыртқы қатерлер бәсекелестердің теріс пиғылды әрекеттеріне, экономикалық жағдайларға және басқа да себептерге (мысалы, тіпті стихиялық апаттарға) байланысты болады. Шет ел әдебиеттерінің мәліметтері бойынша, өнеркәсіптік шпионаж (тыңшылық) кеңінен тараған, бұл – коммерциялық құпия иесіне залал келтіретін заңсыз алымдар, оның иелеріне бұл өкілетті емес тұлғаларға, коммерциялық құпияны құрайтын мәліметтерді иелену және беру.

Ақпараттардың қауіпсіздігінің негізі қатерлеріне және АЖ қалыпты міндеттеріне жататындары:

• құпия ақпараттардың ағыны;

• ақпараттардың атына кір келтіру;

• ақпараттар ресурстарын санкцияланбаған пайдалану;

• ақпараттар ресурстарын қате пайдалану;

• абоненттер арасындағы санкцияланбаған ақпарат алмасу;

• ақпараттардан бас тарту;

• ақпараттық қызмет көрсетудің бұзылуы;

• жеңілдіктерді заңсыз пайдалану.

Құпия ақпараттардың ағыны – бұл жұмыс үдерісінде белгілі болған немесе жұмыс бойынша сеніп тапсырылған тұлғалардың айналасында немесе АЖ тыс құпия ақпараттардың бақылаусыз шығуы. Мұндай ағындар мыналардың салдарынан болады:

• құпия ақпараттардың жария болуы;

• ақпараттың түрлі, ең бастысы техникалық, арналармен кетуі;

• құпия ақпараттарға санкцияланбаған түрлі тәсілдермен қол жеткізу.

Оның иелерінің немесе иеленушілерінің ақпаратты жария етуі бекітілген тәртіпте сәйкесті мәліметтердің қызмет бойынша сеніп тапсырылуынан, осы мәліметтерге қолжетімділігі жоқ тұлғалардың олармен танысуынан, лауазымды тұлғалардың және пайдаланушылардың қасақана немесе байқамаған әрекеттеріне алып келеді.

Құпия ақпараттардың көзбен шолу-оптикалық, акустикалық, электромагниттік және басқа арналар бойынша бақылаусыз қалуы да мүмкін.

Санкцияланбаған қол жетімділік – бұл күзетілетін мәліметтерге қолжетімділік құқығы жоқ тұлғалардың құпия ақпараттарды заңға қарсы әдейілеп иеленуі.

Ақпараттарға санкцияланбаған қолжетімділік жолдарының кеңінен таралу жолдары болып табылатындар:

• электрондық сәулеленуді жаулап алу;

• мәнді емес паразиттік түрлену алу мақсатында байланыс желілерінің мәжбүрлі электромагниттік сәулеленуі (көмескі жарық);

• тыңдаушы құрылғыларды (белгіні) қолдану;

• ара қашықтық фотоға түсіру;

• акустикалық сәулеленуді жаулап алу және принтердің мәтінін қалпына келтіру;

• санкцияланған сұраулар орындалғаннан кейін жүйенің жадында қалған ақпараттарды оқу;

• қорғау шараларын жеңіп шыққаннан кейін ақпарат жеткізушілерді көшіру;

• тіркелген пайдаланушы ретінде бүркемелену;

• жүйе сұранысы ретінде бүркемелену;

• программалық қақпандарды пайдалану;

• программалау тілдері мен операциялық жүйелердің кемшіліктерін пайдалану;

• ақпараттарға қолжетімділікті қамтамасыз ететін, арнайы әзірленген аппараттық құралдардың байланыс желілеріне және аппаратураларына заңсыз қосылу;

• қорғау тетіктерін қаскүнемдікпен істен шығару;

• шифрланған ақпараттарды арнайы программалармен ұғындыру;

• ақпараттық инфекциялар.

Санкцияланбаған қолжетімділіктің жоғарыда көрсетілген жолдары жеткілікті көп техникалық білімді және сәйкесті аппараттық немесе қарақшылар тарапынан программалық әзірліктерді талап етеді. Мысалы, ағынның техникалық арналары пайдаланылады – бұл күзетілетін мәліметтерді біреу арқылы алуға болатын, қаскүнемге негізгі көздерден құпия ақпарат алудың нақты жолдары. Ағын арналарының туындау себептері не элементтердің пайдалануда тозуы және сызбалық шешімдердің құрылғылық және технологиялық жетілдірілмеуі болып табылды. Мұның бәрі қарақшыларға өзгеріс жасаушы анықталған нақтылы тұжырымдарда әрекеттерді, ақпарат беру арналарының осы тұжырымдарына сәйкес өзгеретін – ағын арнасын құруға мүмкіндік береді.

Алайда санкцияланбаған қолжетімділіктің жеткілікті дұрыс (анайы) жолдары да бар:

• ақпарат жеткізушілер мен құжаттық қалдықтарды жымқыру;

• бастамалық ынтымақтастық;

• қарақшы тарапынан ынтымақтастыққа көндіру;

• зорлап анығын айтқызу;

• тың тыңдау;

• қадағалау және басқа да жолдар.

Құпия ақпараттар ағынының кез келген тәсілдері АЖ қызмет ететін ұйым үшін де, оны пайдаланушылар үшін де маңызды материалдық және моралдық шығындарға алып келуі мүмкін.

Менеджерлерге құпия ақпараттарды заңсыз иеленудің мүмкіндігі және алғышарттар құратын жағдайлар мен себептердің басым көпшілігі кәсіпорынның басшылары мен оның қызметкерлерінің қарапайым шалалықтарынан туындайды. Мысалы, коммерциялық құпиялардың ағыны үшін алғышарттар құратын жағдайлар мен себептерге мыналар жатуы мүмкін:

• кәсіпорын қызметкерлерінің құпия ақпараттарды қорғау ережелерін жеткілікті білмеуі және оны мұқият сақтаудың қажеттігін түсінбеуі:

• құпия ақпараттарды өңдеугеаттестацияланбаған техникалық құралдарды пайдалану;

• ақпаратты заңдық, ұйымдастырушылық және инженерлік-техникалық шаралармен қорғау ережелерін сақтауда бақылаудың әлсіздігі;

• мамандардың тұрақтамауы, оның ішінде коммерциялық құпияны құрайтын мәліметтерді білетіндердің ағыны;

• басқа да ұйымдастырушылық шалалықтар, нәтижесінде ақпараттар ағынының кінәлілері адамдар – АЖ мен АТ қызметкерлері болып табылады.

Санкцияланбаған қолжетімділіктің жоғарыда көрсетілген техникалық жолдарының көбісі дұрыс әзірленген сенімді блоктау кезінде және қауіпсіздікпен қамтамасыз ету жүйесі іс жүзінде жүзеге асырылғанда нақтылана түседі. Бірақ ақпараттық инфекциялармен күрестің маңызды қиындықтары болады, өйткені компьютерлердің ПҚ және ДҚ-дағы ақпараттардың бұзылуына бағытталған, орасан көп зиян келтіретін программалар бар және тұрақты әзірленуде. Бұл программалардың көптеген түрлері оларға қарсы сенімді қорғаныс құралдарын және тұрақты әзірлеуге мүмкіндік бермейді.

Зиян келтіруші программалар мынадай түрде жіктеледі.

«Логикалық бомбалар», атынан көрініп тұрғанындай, ақпараттарды бұрмалау немесе жою үшін пайдаланылады; кейде олардың көмегімен ұрлық немесе алаяқтық жасалады. Логикалық бомбалармен айла-амалдармен, әдетте, бір нәрсеге наразы, осы мекемені тастап кетпек болып жүрген қызметкерлер, бірақ бұлар кеңесшілер, анықталған саяси пайымдаулары бар қызметкерлер және т.б. болуы мүмкін.

«Логикалық бомбаның» шынайы мысалы: программалаушы, өзінің жұмыстан кететінін біліп, еңбекақы төлеу есебіне анықталған өзгерістер енгізеді, егер оның фамилиясы фирманың қызметкерлері туралы мәліметтер жиынтығынан алынса, жұмыс басталады.

«Троян жылқысы» – негізгіге қосымша орындалатын программа, яғни жобаланған және құжатталған әрекеттерге қосымша әрекет, бірақ құжаттамада сипатталмаған. Ерте гректердегі «троян жылқысына» ұқсастығы ақталған – онда да және басқа жағдайда да қабықта қауіп бары күдік тудырмайды. «Троян жылқысы» сол немесе басқа түрде зиянсыз программада қойылған топтардың қосымша блогын ұсынады, содан соң АЖ пайдаланушыларына беріледі (сыйланады, сатылады, ауыстырылады). Бұл топтар блогы кейбір шарттардың болуымен (мезгіл, уақыт,топтан тыс және т.б.) жұмыс істеуі мүмкін. Мұндай программаны жібергендер өздерінің файлдары сияқты, барлық АЖ тұтастай қауіп-қатерге ұшырайды. «Троян жылқысы» әдетте бір пайдаланушы өкілетігі аясында,бірақ басқа пайдаланушының немесе тұлғалығын бекіту тіпті мүмкін емес жалпы басқа бөгде адамның мүддесіне әрекет етеді.

«Троян жылқысының» өте қауіпті әрекетті, егер оны жіберген пайдаланушы кеңейтілген жеңілдіктер жиынтығын иеленгенде орындауы мүмкін. Бұл жағдайда «троян жылқысын» құрастырған және ендірген қаскүнем, өзі де осы жеңілдіктерді иеленбей, санкцияланбаған жеңілдік міндеттерді бөтен адамның қолымен орындауы мүмкін.

Қылмыстық топ банк программасын қамтамасыз ететін фирмада жұмыс істейтін программасымен ол бекіткен жүйеден кейін олардың ақшалай салымдарды орналастыру мақсатындағы жүйеге қолжетімділігі туралы оның қосалқы программа енгізуіне келісімге келген жағдайы белгілі. Басқа екінші жағдай, ПҚ әзірлейтін фирма қылмыс әлемімен тығыз байланыс жасайтын және программаны сатып алмақ болған басқа фирманың сұғанықтығының обьектісі болады. Қылмыстық топ, егер ол «троян жылқысын» (мысалы, оны ақша қаржыларын беретін автоматты бақылаумен тазалау жүйесіне ендірсе) ендіру үшін орынды сәтті анықтаса, онда өлшеусіз байитын болады.

Бұл қауіптен қорғану үшін жеңілдігі бар және жеңілдігі жоқ пайдаланушылар қолданбалы программалардың түрлі даналарымен жұмыс істеп, оны жеке сақтауы және қорғауы тиіс. Ал осы қауіптен қорғаудың радикалды тәсілі программаны пайдалануда тұйықталған орта құру болып табылады.

«Вирус» – олардағы түрлендірілген көшірмелерге ену жолымен, өз кезегінде әрі қарай көбею қабілетін сақтайтын басқа программаға жұғуы мүмкін программа. Бұл анықтауда, алғашқы зерттелген вирустың пайда болғанына 10 жылдай болады.

Вирус екі негізгі ерекшеліктермен сипатталады деп есептеледі:

1) өзіне-өзі көбеюге қабілеттілігі;

2) есептеу үдерісіне араласу қабілеттілігі (яғни басқаруға мүмкіндік алуы).

Бұл қасиеттердің болуы, көріп отырғанымыздай, биологиялық вирустарға тән жанды табиғаттағы паразиттенуге ұқсас болып табылады. Соңғы жылдары вирустармен күрес мәселесі өте өзекті болды, өйткені онымен көп адамдар айналысады. Көптеген ұйымдастырушылық шаралар, жаңа вирусқа қарсы программалар және осы шаралардың барлығына насихат қолданылуда. Соңғы уақытта зақымдау ауқымдары мен бұзылулардың көлеміне көбірек немесе азырақ шектеу қойылды. Алайда (жанды табиғатта сияқты) осы күресте толықтай жетістікке қол жеткізілген жоқ.

«Құрт» – желі арқылы тарайтын және магнитті жеткізушіде өзінің көшірмесін қалдырмайтын программа. «Құрт» торапты анықтау үшін жұқпалы болуы мүмкін желіні қолдау тетігін пайдаланады. Одан соң осы тетіктердің көмегімен өзінің денесін немесе оның бөлігін осы торапқа береді және белсендіріледі, не осы үшін қолайлы жағдайды күтеді. Бұл жіктің белгілі өкілі – Моррис вирусы (Моррис «құрты»), Интернет желісін 1988жылы зақымдаған. «Құрттың» таралуына қолайлы ортада желі болып табылады, барлық пайдаланушылар достастық деп есептеледі және бір-біріне сенеді, ал қорғаныс тетіктері жоқ. «Құрттан» қорғанудың ең жақсы тәсілі – желіге санкцияланбаған қолжетімділікке қарсы алдын ала сақтандыру шараларын қабылдау.

«Пароль басқыншысы» – бұл парольдерді ұрлауға арналған арнайы бағдарлама. Осы үдерістің сипатты суреттерінің бірі мынадай. Жүйе терминалына пайдаланушы жұмыс істеуге тырысқанда терминал экранына жұмыс сеансының аяқталуына қажетті ақпарат шығарылады. Енуді ұйымдастыруға тырысқанда пайдаланушы аты мен паролін ендіреді, ол программашы-басқыншыға беріледі, содан кейін ендірудің қателігі туралы хабарлама шығады және басқару оперциялық жүйеге қайта оралады. Пайдаланушы, парольді тергенде қателестім деп ойлап, енуді қайталайды және жүйеге қол жеткізеді. Алайда оның аты мен паролі программашы-басқыншының иесіне белгілі болады. Парольді басқа жолдармен де басып алуға болады. Бұл қауіптің алдын алу үшін жүйеге ену алдында сіз атыңыз бен пароліңізді басқаға емес, ал тура ендірудің жүйелі программасына енгізгеніңізге көз жеткізуіңіз тиіс. Бұдан басқа, жүйемен жұмыс және парольдерді пайдалану ережелерін бұлжытпай ұстану қажет. Бұзушылықтардың көпшілігі айлалы шабуылдардан емес, қарапайым ғана салдыр-салақтықтан болады. Арнайы әзірленген парольдерді пайдалану ережелерін сақтау – сенімді қорғаныстың қажетті жағдайы.

Келтірілген қысқаша шолу АЖ қауіпсіздігіне зиян келтіретін неғұрлым қапуіпті программалардың барлық мүмкін қауіптердің осы типтерін қамтымайды. Жоғарыда келтірілген қатерлер туралы анығырақ ақпараттар алу үшін арнайы әдебиеттерге жүгіну керек.

Ақпараттардың беделін түсіру (ақпараттық инфекциялардың түрлерінің бірі). Әдетте, мәліметтер базасында санкцияланбаған өзгерістер арқылы жүзеге асырылады, нәтижесінде оның тұтынушысы не одан бас тартуға мәжбүр болады, не айқын мәліметтерді қалпына келтіру және өзгерістерді айқындау үшін қосымша күш жұмсайды. Ақпараттық беделін түсіру үшін пайдаланғанда тұтынушы одан шығатын барлық салдарларымен бірге сенімсіз шешімдер қабылдау қаупіне ұшырайды.

Ақпараттық ресурстардың санкцияланбаған пайдаланудың өзіндік мәні бар, өйткені басқарылатын жүйеге немесе оның апбоненттеріне (АТ толықтай істен шығуына дейін) қомақты зиян келуі мүмкін. Бұл құбылыстардың алдын алу үшін идентификация (теңестіру) және аутенти фикация (түп нұсқалы теңестіру) жүргізіледі.

Теңестіру – бұл пайдаланушыға оның сәйкестігін тексеру үшін бірегейлігін белгілеуді меншіктеу.

Түп нұсқалы теңестіру – оның сәйкестігін тексеру үшін пайдаланушыға түпнұсқалықты бекіту.

Ақпараттық ресурстарды қате пайдалану, болашақ санкцияланғандарға, оның үстіне көрсетілген ресурстардың беделін түсіруге немесе ағынын, бұзылуына алып келуі мүмкін. Мұндай қатерлер бәрінен бұрын, АТ ПҚ-да болған қателердің салдары болып табылады.

Абоненттер арасындағы санкцияланбаған ақпарат алмасу оған қолжетімлілікке тыйым салынған мәліметтердің бірін алуға әкеледі. Салдары – санкцияланбаған қолжетімділіктегідей болады.

Ақпараттан бас тарту алушының немесе жіберушінің оны алуда немесе жіберуде осы ақпараттардың фактілерін мойындамауынан тұрады. Бұл тараптардың біріне, одан бас тартпай, сонысымен екінші тарапқа қомақты зиян келтіре отырып, техникалық жолмен бекітілген қаржылық келісімді бұзуға мүмкіндік береді.

Ақпараттық қызмет көрсетуді бұзу – АТ өзі негізі болған қауіп. Абонентке ақпараттық ресурстарды ұсынудың кешігуі ол үшін ауыр салдарларға алып келуі мүмкін. Пайдаланушыда қазіргі заманға сай шешім қабылдау үшін қажетті мәліметтердің болмауы оның тиімсіз әрекеттер жасауына әкелуі мүмкін.

Жеңілдіктерді заңсыз пайдалану. Кез келген қорғалған жүйеде төтенше жағдайларда пайдаланылатын құралдар болады немесе қазіргі бар қауіпсіздік саясатын бұзуға қабілетті қызметі бар құралдар болады. Мысалы,кейде оқыс тексеріс жағдайында жүйенің барлық жиынтығына қолжетімділік мүмкіндігі болуы тиіс. Әдетте бұл құралдарды әкімгерлер, операторлар, жүйелік программашылар және арнайы міндетті орындайтын басқа да пайдаланушылар қолданады.

Мұндай жағдайлардағы қорғаныс жүйелерінің көпшілігі жеңілдіктер жиынтығын қолданады, яғни анықталған міндеттерді орындау үшін анықталған жеңілдіктер талап етіледі. Әдетте пайдаланушыларда жеңілдіктердің ең шағын жиынтығы, ал әкімгерлерде ең жоғары жиынтығы болады.

Жеңілдіктер жиынтығы қорғаныс жүйесімен қорғалады. Қызметтер мен жеңілдіктерді түпнұсқалы теңестірудің көмегімен санкцияланбаған (заңсыз) жаулап алу және анықталған қызметтерді санкцияланбаған орынддау мүмкіндіктеріне алып келеді. Жеңілдіктердің кеңейтілген жиынтығы – кез келген теріс ниетті қаскүнемнің арманы. Ол қаскүнемге барлық бақылау шараларын айналып өтіп өзі үшін ниет еткен әрекеттерін іске асыруға мүмкіндік береді. Қорғаныс жүйесінде қателіктер болғанда, бірақ бәрінен бұрын қорғаныс жүйесін басқару үдерісіндегі немқұрайдылықтан, көбінесе жеңілдіктерді пайдаланғанда жеңілдіктерді заңсыз басып алады.

Сонымен, қорғаныс жүйесін басқарудың ережелерін қатаң сақтағанда жеңілдіктердің төменгі тұжырымын сақтағанда мұндай бұзушылықтарды болдырмауға болады.

АЖ үшін түрлі қауіптердің әр түрлі әдебиеттерінде және оларды жүзеге асырудың тәсілдерінде «шабуыл» түсінігі кеңінен қолданылады. Шабуыл – қарақшының қаскүнемдік әрекеті (оның кез келген қауіптің түрін жүзеге асыруға тырысуы). Мысалы, кез келген зиян келтіретін программаны қолдану шабуыл болып табылады. АЖ шабуылдардың ортасында көбінесе, әр түрлі қауіптерді (немесе қауіптердің кешенін) жүзеге асырудың нәтижесі болуы мүмкін «бет перде кеші» (маскарад) және «жүйені бұзуды» жиі бөліп көрсетеді.

«Бетперде кеші» деп АЖ бір пайдаланушының басқа пайдаланушының атынан қандай да бір әрекетті орындауы түсініледі. Бұл жерде басқа пайдаланушыға осындай әрекеттерге рұқсат берілуі мүмкін. Бұзушылық құққықтар мен жеңілдіктерді меншіктеуге байланысты болады. Мұндай бұзушылықтар сылтаурату немесе үлгілендіру деп аталады. «Бетперде кешінің» мақсаты –басқа пайдаланушының атынан қандай да бір әрекетті жабу немесе құқықтар мен басқа пайдаланушының жеңілдіктерін оның мәліметтер жиынтығына қол жеткізу үшін немесе оның жеңілдіктерін пайдалану үшін меншіктеу. «Бетперде кешінің» мысалы басқа пайдаланушының паролімен немесе атынан жүйеге ену, бұл жерде қорғаныс бұзушылықты тани алмайды. Бұл жағдайда «бетперде кешіне», әдетте,жүйені бұзу немесе парольді басып алу болады.

«Бет перде кешін» жүзеге асырудың басқа да тәсілдері болуы мүмкін, мысалы, программаларды құру мен пайдалануда анықталған жерде анықталған мәліметтер өзгертілуі мүмкін, нәтижесінде пайдаланушы басқа ат алады. «Бет перде кеші» деп сондай-ақ желіде басқа пайдаланушының атынан хабарлама беруді атайды. «Бетперде кеші» әсіресе, банк жүйелеріндегі электронды төлемақыда өте қауіпті, онда клиенттің идентификациясының дұрыс болмауы зор шығынға ұшыратуы мүмкін. Әсіресе бұл электронды карталарды пайдаланатын төлемақыларға байланысты болады. Оларда пайдаланылатын идентификация әдісі жеке идентификатордың көмегімен жеткілікті сенімді болады. Бірақ оны пайдалануда қатенің салдарынын бұзушылықтар өтуі мүмкін, оның қарапайым мысалдары мыналар:

• кредит карточкаларын жоғалту;

• айқын идентификаторды (өз атынан және т.б.) пайдалану.

Сондықтан клиенттерге осындай төлемақыларды орындау бойынша банктің барлық ұсыныстарын қатаң орындау қажет. «Бетперде кешінің» алдын алу үшін идентификацияның сенімді әдістерін, жүйені бұзуға тырысуды блоктауды, оған енуге бақылауды пайдалану қажет. Жүйелік журналда оның келесісіне талдау жасау үшін «бетперде кеші» туралы куәлік жасауы мүмкін барлық оқиғаларды тіркеу қажет. Сонымен бірге, қатесі бар, «бетперде кешіне» алып келетін программалық өнімдерді қолданбаған жөн.

Жүйені бұзу қарақшының ену үшін санкцияланған параметрлері болмағанда жүйеге саналы енуін білдіреді.Бұзу тәсілдері әр түрлі болуы мүмкін, және кейбір жағдайларда ертеректе сипатталған қауіптермен ұқсас өтуі де мүмкін. Көбінесе аулау обьектісі басқа пайдаланушының паролін пайдалану болады. Пароль, мысалы, мүмкін парольдерді іріктеу жолмен ашылуы мүмкін.

Сонымен, бұзуда қорғаныс жүйесіне негізгі жүктемені ену программасы алады. Ену алгоритмінде ат және пароль, олардың шифры, парольдердің ауысуы және сақталу ережелерінде қате болмауы тиіс. Жүйенің бұзылуына, мысалы, терминалды келесі блоктау парольді дұрыс енгізбеуді тырысуға шектеу (яғни қомақты іріктеу) көмектеседі және бұзылған жағдайда әкімгерлер хабарландырылады. Бұдан басқа, қауіпсіздік әкімгерлері жүйені белсенді пайдаланушыларды – олардың аттарын, жұмыстарының сипаттарын, ену және шығу уақытын және т.б. тұрақты бақылауы тиіс. Мұндай әрекеттер бұзу фактілерін өз уақытында бекітуге көмектеседі және қажетті әрекеттерді қабылдауға мүмкіндік береді.

АЖ көптеген қауіптердің жүзеге асырылуына әсер ететін жағдайлардың бірі – тесіктің болуы. Тесік – ПҚ АЖ мен АТ құрамына енетін программалық модульға енудің құжатсыз, жабық нүктесі. Тесік әдетте программаға жұмысты жеңілдету үшін күйге келтіру кезеңінде қойылады: бұл модуль программаның жекеленген бөліктерін байланыссыз күйге келтіруге мүмкіндік береді,оны түрлі жерлерден шақыруға болады. Тесіктің болуы программаны стандартты емес бейнеде шақыруға мүмкіндік береді, бұл қорғаныс жүйесінің жағдайына салмақты әсер етуі мүмкін. Тесіктер программада түрлі себептермен болуы мүмкін: оларды алып тастауға ұмытып кетуі мүмкі, дайын программаны қолдауды қамтамасыз ету үшін кейінгі күйге келтіру үшін немесе оны бекіткеннен кейін осы программаға құпия қолжетімділікті жүзеге асыру үшін қалдырылады.

Бірінші айтылған жағдай – қорғаныс жүйесіне зиян шегуге алып келетін ниеттелмеген мүлт кету. Ал басқа екі жағдайда тесіктерді әдейілеп қалдырады, бірақ олар қорғаныс жүйесі үшін байыпты сынақтар тудырады және тіпті олол жағдайларды түзете алмауы да мүмкін. Ал төртінші жағдай осы программаны пайдалануға қасақана жасалған алғашқы қадам болуы мүмкін. Тесіктердің жоғары қауіптілігі оларды табумен күрделендіріледі (егер,әрине, олардың барын бұрын білмесеңіз), өйткені тесіктерді табу – оқыс және еңбекті көп талап ететін іздеудің нәтижесі. Тесіктерден қорғанудың жолы біреу – программада тесіктердің пайда болуына жол бермеу, ал басқа өндірушілер әзірлеген программалық өнімдерді әзірлегенде тесіктерді табу мақсатында программаның шығатын мәтіндеріне талдау жүргізу керек.

АЖ қауіптерін жүзеге асыру әр түрлі тікелей немесе жанама жоғалтуларға алып келеді. Жоғалтулар материалдық зияндармен – басқа жанама жоғалтылған мүліктің орнын толтыру, өтемақының құны; жөндеу-қалпына келтіру жұмыстарының құны; залал көлемі мен себептерін зерттеу, талдау шығындары, мәліметтерді бақылау мен қалпына келтіру жұмыстарымен байланысты қосымша шығындар; және т.б. байланысты болуы мүмкін.

Жоғалтулар банк мүдделеріне шек қоюмен, қаржылық залалдармен немесе клиенттерді жоғалтулармен (банкке сенімділіктің азаюымен; пайда көлеимінің азаюымен; клиенттерді жоғалтумен және т.б.) байланысты болуы мүмкін.

Статистика барлық елдерде де қасақана жасалатын әрекеттерден келетін зияндардың өсіп отырғанын көрсетеді. Оның үстіне залалдардың негізгі себептері қауіпсіздік құралдарының жеткіліксіздігіне ғана емес, сонымен бірге олардың арасындағы өзара байланыстың жоқтығынан, яғни жүйелі әдістердің жүзеге асырылмайтындығына байланысты болады. Сондықтан қорғаныстың кешенді тәсілдерін қарқынды түрде жетілдіру қажет.