7.1. Загрози безпеці інформації та інформаційних ресурсів

7.1.1. Загальні положення

На сьогодні вважають, що забезпечення безпеки інформації повинно носити комплексний характер. Усе більше фахівців пропонують свої рішення в галузі забезпечення безпеки інформаційних ресурсів як комплексні. Проте організація забезпечення безпеки інформації повинна носити не просто комплексний характер, але ще й засновуватися на всебічному аналізі можливих негативних наслідків, при якому важливо не упустити будь-які суттєві аспекти.

Насамперед заходи забезпечення інформаційної безпеки в організації спрямовуються тільки на те, щоб не допустити збитків від утрати конфіденційної інформації. Відповідно до цього, уже передбачається наявність цінної інформації, в разі втрати якої організація може понести збитки. А якщо є цінна інформація, то звичайно ж є можливість здійснення будь-яких дій, які можуть нанести шкоду цій інформації. Усі шкідливі дії можуть бути здійснені тільки при наявності будь-яких слабких місць (уразливостей) (рис. 7.1). А якщо є дії, то є найвища загроза їх здійснення, а також наявні джерела, з яких ці загрози можуть виходити [6,10].

Виникає наступний ланцюжок: джерело загрози— фактор (уразливість) — загроза (дія) — наслідки (атака).

Джерело загрози — це потенційні антропогенні, техногенні або стихійні носії загрози безпеці.

Загроза (дія) — це можлива небезпека (потенційна або така, що існує реально) вчинення будь-якого діяння (дії або бездіяльності), спрямованого проти об'єкта захисту (інформаційних ресурсів), яке наносить збиток власнику або користувачу, що проявляється як небезпека спотворення або втрати інформації.

Фактор (уразливість) — це властиві об'єкту інформатизації причини, які призводять до порушення безпеки інформації на конкретному об'єкті та зумовлені вадами процесу функціонування об'єкта інформатизації, властивостями архітектури інформаційно-телекомунікаційної системи, протоколами обміну та інтерфейсами, що застосовуються, програмним забезпеченням і апаратними засобами, умовами експлуатації.

Наслідки (атака) — це можливі наслідки реалізації загрози (можливі дії) при взаємодії джерела загрози через наявні фактори (уразливості).

Атака — це завжди пара "джерело-фактор", що реалізує загрозу та приводить до збитків.

7.1.2. Збитки як категорія класифікації загроз

Прояви збитків можуть бути різноманітні:

• моральні й матеріальні збитки ділової репутації організації;

• моральні, фізичні або матеріальні збитки, пов'язані з розголошенням персональних даних окремих осіб;

• матеріальні (фінансові) збитки від розголошення конфіденційної інформації;

• матеріальні (фінансові) збитки від необхідності відновлення порушених інформаційних ресурсів;

• матеріальні збитки (втрати) від неможливості виконання взятих на себе зобов'язань перед третьою стороною;

• моральні та матеріальні збитки від дезорганізації діяльності організації;

■ матеріальні та моральні збитки від порушення міжнародних відносин.

Слід відзначити, що збитки можуть бути спричинені як будь-яким суб'єктом (у цьому випадку відбувається правопорушення), так і бути наслідком незалежного від суб'єкта прояву (наприклад, стихійних випадків, або інших впливів, таких як прояви техногенних властивостей цивілізації).

У першому випадку наявна вина суб'єкта, яка визначає спричинену шкоду як склад злочину, що здійснюється із злими намірами (навмисно) або по необережності, і спричинені збитки повинні класифікуватися як склад злочину, відповідно до кримінального права.

У другому випадку збитки носять імовірнісний характер і повинні бути співставлені як мінімум із тим ризиком, який обговорюється цивільним, адміністративним або арбітражним правом, як предмет розгляду. Визначення того, хто саме є причиною збитків, є другим за важливістю (після спроби цього не допустити) питанням для потерпілого.

В теорії права під збитками розуміють невигідні для власника майнові наслідки, що виникли внаслідок правопорушення. Збитки виражаються у зменшенні майна, або у недоодержанні прибутку, який був би одержаний при відсутності правопорушення (втрачена вигода).

Якщо розглядати в якості суб'єкта, що спричинив збитки, будь-яку особистість, то категорія "збитки" є справедливою тільки у тому випадку, коли можна довести, що вони спричинені, тобто діяння особистості необхідно кваліфікувати в термінах правових актів як склад злочину. Тому при класифікації загроз безпеці інформації у цьому випадку доцільно враховувати вимоги діючого кримінального права, які визначають склад злочину.

Для прикладу можна розглянути склади злочину, які визначаються кримінальними кодексами в багатьох державах.

Крадіжка — здійснення з корисливою метою протиправного безоплатного вилучення і (або) обіг чужого майна на користь винного або інших осіб, що спричинили збитки власникові майна.

Копіювання комп'ютерної інформації— це повторювання та стійке збереження інформації на машинному або іншому носієві.

Знищення — це зовнішній вплив на майно, у результаті якого воно припиняє своє існування або приходить у повну непридатність для використання по цільовому призначенню. Знищене майно не може бути відновлене шляхом ремонту або реставрації та повністю виводиться з господарського обігу.

Знищення комп'ютерної інформації — стирання її у пам'яті ЕОМ.

Пошкодження — змінювання властивостей майна, при якому суттєво погіршується його стан, втрачається значна частина його корисних властивостей і воно стає повністю або частково непридатним для цільового використання.

Модифікація комп'ютерної інформації— внесення будь-яких змін, окрім пов'язаних з адаптацією програми для ЕОМ або баз даних.

Блокування комп'ютерної інформації— штучне ускладнення доступу користувачів до інформації, не пов'язане з її знищенням.

Несанкціоноване знищення, блокування, модифікація, копіювання інформації— будь-які, не дозволені законом, власником або компетентним користувачем указаних дій з інформацією.

Обман (заперечення автентичності, нав'язування хибної інформації) — навмисне спотворення або приховування істини з метою введення в оману особи, у веденні якої знаходиться майно, і таким чином домогтися від неї добровільної передачі майна, а також повідомлення з цією метою свідомо неправдивих відомостей.

Якщо розглядати в якості суб'єкта, що спричинив збитки, будь-яке природне або техногенне явище, то під збитками можна розуміти невигідні для власника майнові наслідки, викликані цими явищами, які можуть бути компенсовані за рахунок третьої сторони (страхування ризиків настання події) або за рахунок власних засобів власника інформації.

Наприклад, страхування являє собою відносини із захисту майнових інтересів фізичних і юридичних осіб при настанні певних подій (страхових випадків) за рахунок грошових фондів, які формуються зі сплачуваних ним страхових внесків.