3. Важливість і складність проблеми інформаційної безпеки

Інформаційна безпека є одним з найважливіших аспектів інтегральної безпеки, на якому б рівні ми не розглядали останню – національному, галузевому, корпоративному або персональному.

Для ілюстрації цього положення обмежимося декількома прикладами.

• За розпорядженням президента США Клінтона (від 15 липня 1996 року, номер 13010) була створена Комісія із захисту критично важливої інфраструктури як від фізичних нападів, так і від атак, початих за допомогою інформаційної зброї. На початку жовтня 1997 року при підготовці доповіді президентові глава вищезгаданої комісії Роберт Марш заявив, що в цей час ні уряд, ні приватний сектор не мають у своєму розпорядженні засобів захисту від комп'ютерних атак, здатних вивести з ладу комунікаційні мережі й мережі енергопостачання.

• Американський ракетний крейсер "Йорктаун" був змушений повернутися в порт через численні проблеми із програмним забезпеченням, що функціонувало на платформі Windows NT 4.0 (Government Computer News, липень 1998). Таким виявився побічний ефект програми ВМФ США по максимально широкому використанню комерційного програмного забезпечення з метою зниження вартості військової техніки.

• Заступник начальника керування по економічних злочинах Міністерства внутрішніх справ Росії повідомив, що російські хакери з 1994 по 1996 рік вчинили майже 500 спроб проникнення в комп'ютерну мережу Центрального банку Росії. В 1995 році ними було викрадено 250 мільярдів рублів (ІТАР-ТАРС, АР, 17 вересня 1996 року).

• Як повідомив журнал Internet Week від 23 березня 1998 року, втрати найбільших компаній, викликані комп'ютерними вторгненнями, продовжують збільшуватися, незважаючи на ріст витрат на засоби забезпечення безпеки. Відповідно до результатів спільного дослідження Інституту інформаційної безпеки й ФБР, в 1997 році збиток від комп'ютерних злочинів досяг 136 мільйонів доларів, що на 36% більше, ніж в 1996 році. Кожен комп'ютерний злочин завдає шкоди приблизно в 200 тисяч доларів.

• У середині липня 1996 року корпорація General Motors відкликала 292860 автомобілів марки Pontiac, Oldsmobile й Buick моделей 1996 й 1997 років, оскільки помилка в програмному забезпеченні двигуна могла спричинити пожежу.

• У лютому 2001 року двоє колишніх співробітників компанії Commerce One, скориставшись паролем адміністратора, видалили із сервера файли, що становили великий (на кілька мільйонів доларів) проект для іноземного замовника. На щастя, була резервна копія проекту, так що реальні втрати обмежилися витратами на наслідок і засоби захисту від подібних інцидентів у майбутньому. У серпні 2002 року злочинці постали перед судом.

• Одна студентка втратила стипендію в 18 тисяч доларів у Мічиганському університеті через те, що її сусідка по кімнаті скористалася їх спільним системним паролем і відправила від імені своєї жертви електронний лист із відмовою від стипендії.

Зрозуміло, що подібних прикладів безліч, можна згадати й інші випадки – недоліків в порушеннях ІБ немає й не передбачається. Чого коштує одна тільки "Проблема 2000" – сором і ганьба програмного співтовариства!

При аналізі проблематики, пов'язаної з інформаційною безпекою, необхідно враховувати специфіку даного аспекту безпеки, що полягає у тому, що інформаційна безпека є складовою частиною інформаційних технологій –області, що розвивається надзвичайно високими темпами. Тут важливі не стільки окремі рішення (закони, навчальні курси, програмно-технічні засоби), що перебувають на сучасному рівні, скільки механізми генерації нових рішень, що дозволяють жити в темпі технічного прогресу.

На жаль, сучасна технологія програмування не дозволяє створювати безпомилкові програми, що не сприяє швидкому розвитку засобів забезпечення ІБ. Варто виходити з того, що необхідно конструювати надійні системи (інформаційної безпеки) із залученням ненадійних компонентів (програм). У принципі, це можливо, але вимагає дотримання певних архітектурних принципів і контролю стану захищеності протягом усього життєвого циклу ІС.

Наведемо ще кілька цифр. У березні 1999 року був опублікований черговий, четвертий по рахунку, річний звіт "Комп'ютерна злочинність і безпека-1999: проблеми й тенденції" (Issues and Trends: 1999 CS1/FB1 Computer Crime and Security Survey). У звіті відзначається різкий ріст числа звернень до правоохоронних органів із приводу комп'ютерних злочинів (32% із числа опитаних); 30% респондентів повідомили про те, що їхні інформаційні системи були зламані зовнішніми зловмисниками; атакам через Internet піддавалися 57% опитаних; у 55% випадках відзначалися порушення з боку власних співробітників. Примітно, що 33% респондентів на питання " чи були зламані ваші Web-сервери й системи електронної комерції за останні 12 місяців? " відповіли "не знаю".

В аналогічному звіті, опублікованому у квітні 2002 року, цифри змінилися, але тенденція залишилася колишньою: 90% респондентів (переважно з великих компаній й урядових структур) повідомили, що за останні 12 місяців у їхніх організаціях мали місце порушення інформаційної безпеки; 80% констатували фінансові втрати від цих порушень; 44% (223 респондента) змогли й/або захотіли оцінити втрати кількісно, загальна сума склала більше 455 млн. доларів. Найбільший збиток нанесли крадіжки й підробки (більше 170 й 115 млн. доларів відповідно).

Настільки ж тривожні результати втримуються в огляді information Week, опублікованому 12 липня 1999 року. Лише 22% респондентів заявили про відсутність порушень інформаційної безпеки. Поряд з поширенням вірусів відзначається різкий ріст числа зовнішніх атак.

Збільшення кількості атак – ще не найбільша неприємність. Гірше те, що постійно виявляються нові уразливі місця в програмному забезпеченні (вище ми вказували на обмеженість сучасної технології програмування) і, як наслідок, з'являються нові види атак.

Так, в інформаційному листі Національного центру захисту інфраструктури США (National Infrastructure Protection Center, NIPC) від 21 липня 1999 року повідомляється, що за період з 3 по 16 липня 1999 року виявлено дев'ять проблем з ПЗ, ризик використання яких оцінюється як середній або високий (загальне число виявлених уразливих місць дорівнює 17). Серед "потерпілих" операційних платформ – майже всі різновиди ОС Unix, Windows, MacOS, так що ніхто не може почуватися спокійно, оскільки нові помилки відразу починають активно використовуватися зловмисниками.

У таких умовах системи інформаційної безпеки повинні вміти протистояти різноманітним атакам, як зовнішнім, так і внутрішнім, атакам автоматизованим і скоординованим. Іноді напад триває долі секунди; часом промацування уразливих місць ведеться повільно й розтягується на години, так що підозріла активність практично непомітна. Метою зловмисників може бути порушення всіх складових ІБ – доступності, цілісності або конфіденційності.