Інформація й інформаційні відносини. Суб’єкти інформаційних відносин, їхня безпека.

Під інформацією будемо розуміти відомості про факти, події, процеси і явищах, про стан об’єктів (їхніх властивостях, характеристиках) у деякій предметній області, використовувані (необхідні) для оптимізації прийнятих рішень у процесі керування даними об’єктами.

Інформація може існувати в різних формах у вигляді сукупностей деяких знаків (символів, сигналів і т.п.) на носіях різних типів. У зв’язку з бурхливим процесом інформатизації суспільства все більші обсяги інформації накопичуються, зберігаються й обробляються в автоматизованих системах, побудованих на основі сучасних коштів обчислювальної техніки й зв’язку. Надалі суб’єктами будемо називати державу (у цілому або окремі його органи й організації), суспільні або комерційні організації (об’єднання) і підприємства (юридичних осіб), окремих громадян (фізичних осіб).

У процесі своєї діяльності суб’єкти можуть перебувати один з одним у різного роду відносинах, у тому числі, що стосуються питань одержання, зберігання, обробки, поширення й використання певної інформації. Такі відносини між суб’єктами будемо називати інформаційними відносинами, а самих суб’єктів, що беруть участь у них, - суб’єктами інформаційних відносин.

Під автоматизованою системою обробки інформації (АС) будемо розуміти організаційно-технічну систему, що представляє собою сукупність наступних взаємозалежних компонентів:

• технічних коштів обробки й передачі даних (коштів обчислювальної техніки й зв'язку);

• методів і алгоритмів обробки у вигляді відповідного програмного забезпечення;

• інформації (масивів, наборів, баз даних) на різних носіях;

• персоналу й користувачів системи, об’єднаних по організаційно-структурній, тематичній, технологічній або іншій ознаках для виконання автоматизованої обробки інформації (даних) з метою задоволення інформаційних потреб суб’єктів інформаційних відносин.

Під обробкою інформації в АС будемо розуміти будь-яку сукупність операцій (прийом, збір, нагромадження, зберігання, перетворення, відображення, видача й т.п.), здійснюваних над інформацією (відомостями, даними) з використанням коштів АС.

Різні суб’єкти стосовно певної інформації можуть виступати в якості (можливо одночасно):

• джерел (постачальників) інформації;

• користувачів (споживачів) інформації;

• власників (власників, розпорядників) інформації;

• фізичних і юридичних осіб, про які збирається інформація;

• власників систем збору й обробки інформації й учасників процесів обробки й передачі інформації й т.д.

Для успішного здійснення своєї діяльності по керуванню об’єктами деякої предметної області суб’єкти інформаційних відносин можуть бути зацікавлені в забезпеченні:

• своєчасного доступу (за прийнятне для них час) до необхідній їм інформації;

• конфіденційності (збереження в таємниці) певної частини інформації;

• вірогідності (повноти, точності, адекватності, цілісності) інформації;

• захисту від нав’язування їм помилкової (недостовірної, перекрученої) інформації (тобто від дезінформації);

• захисту частини інформації від незаконного її тиражування (захисту авторських прав, прав власника інформації й т.п.);

• розмежування відповідальності за порушення законних прав (інтересів) інших суб’єктів інформаційних відносин і встановлених правил обігу з інформацією;

• можливості здійснення безперервного контролю й керування процесами обробки й передачі інформації.

Будучи зацікавленим у забезпеченні хоча б одного з вищезгаданих вимог суб’єкт інформаційних відносин є уразливим, тобто потенційно підданим нанесенню йому збитку (прямого або непрямого, матеріального або морального) за допомогою впливу на критичну для нього інформацію і її носії або за допомогою неправомірного використання такої інформації. Тому всі суб'єкти інформаційних відносин зацікавлені в забезпеченні своєї інформаційної безпеки (звичайно в різному ступені залежно від величини збитку, що їм може бути нанесений).

Для задоволення законних прав і перерахованих вище інтересів суб’єктів (забезпечення їхньої інформаційної безпеки) необхідно постійно підтримувати наступні властивості інформації й систем її обробки:

- доступність інформації, тобто властивість системи (середовища, коштів і технології її обробки), у якій циркулює інформація, що характеризується здатністю забезпечувати своєчасний безперешкодний доступ суб'єктів до їхньої інформації, що цікавить, і готовність відповідних автоматизованих служб до обслуговування вступників від суб'єктів запитів завжди, коли у звертанні до них виникає необхідність;

- цілісність інформації, тобто властивість інформації, що укладається в її існуванні в неспотвореному виді (незмінному стосовно деякого фіксованого її стану). Точніше кажучи, суб’єктів цікавить забезпечення більше широкої властивості - вірогідності інформації, що складається з адекватності (повноти й точності) відображення стану предметної області й безпосередньо цілісності інформації, тобто її неперекрученості. Однак, ми обмежимося тільки розглядом питань забезпечення цілісності інформації, тому що питання забезпечення адекватності відображення виходять далеко за рамки проблеми забезпечення інформаційної безпеки;

- конфіденційність інформації – суб’єктивно обумовлену (приписувану) характеристику (властивість) інформації, що вказує на необхідність введення обмежень на коло суб’єктів, що мають доступ до даної інформації, і забезпечувану здатністю системи (середовища) зберігати зазначену інформацію в таємниці від суб'єктів, що не мають повноважень на доступ до неї. Об’єктивні передумови подібного обмеження доступності інформації для одних суб’єктів укладені в необхідності захисту законних інтересів інших суб’єктів інформаційних відносин.

Оскільки збиток суб’єктам інформаційних відносин може бути нанесений опосередковано, через певну інформацію і її носії (у тому числі автоматизовані системи обробки), те закономірно виникає зацікавленість суб’єктів у забезпеченні безпеки цієї інформації й систем її обробки й передачі. Іншими словами, як об’єкти, що підлягають захисту в інтересах забезпечення безпеки суб’єктів інформаційних відносин, повинні розглядатися: інформація, її носії й процеси її обробки.

Однак, завжди варто пам’ятати, що уразливими в остаточному підсумку є саме зацікавлені в забезпеченні певних властивостей інформації й систем її обробки суб’єкти (інформація, так само як і кошти її обробки, не має своїх інтересів, які можна було б ущемити й нанести тим самим збиток). Надалі, говорячи про забезпечення безпеки АС або циркулюючої в системі інформації, завжди будемо розуміти під цим непряме забезпечення безпеки суб’єктів, що беруть участь у процесах автоматизованої інформаційної взаємодії.

У світлі сказаного, термін “безпека інформації” потрібно розуміти як захищеність інформації від небажаного для відповідних суб’єктів інформаційних відносин її розголошення (порушення конфіденційності), перекручування (порушення цілісності), втрати або зниження ступеня доступності інформації, а також незаконного її тиражування.

Оскільки суб’єктам інформаційних відносин збиток може бути нанесений також за допомогою впливу на процеси й кошти обробки критичної для них інформації, то стає очевидної необхідність забезпечення захисту всієї системи обробки й передачі даної інформації від несанкціонованого втручання в процес її функціонування, а також від спроб розкрадання, незаконний модифікації й/або руйнування будь-яких компонентів даної системи.

Тому під безпекою автоматизованої системи обробки інформації (комп’ютерної системи) будемо розуміти захищеність всіх її компонентів (технічних коштів, програмного забезпечення, даних і персоналу) від подібного роду небажаних для відповідних суб'єктів інформаційних відносин впливів.

Безпека будь-якого компонента (ресурсу) АС складається із забезпечення трьох його характеристик: конфіденційності, цілісності й доступності.

Конфіденційність компонента системи укладається в тім, що він доступний тільки тим суб’єктам доступу (користувачам, програмам, процесам), яким надані на те відповідні повноваження.

Цілісність компонента системи припускає, що він може бути модифікований тільки суб’єктом, що має для цього відповідні права. Цілісність є гарантією коректності (незмінності, працездатності) компонента в будь-який момент часу.

Доступність компонента означає, що що має відповідні повноваження суб’єкт може в будь-який час без особливих проблем одержати доступ до необхідного компонента системи (ресурсу).

У світлі наведеного вище підкреслимо, що кінцевою метою захисту АС і циркулюючої в ній інформації є запобігання або мінімізація наносимого суб’єктам інформаційних відносин збитку (прямого або непрямого, матеріального, морального або іншого) за допомогою небажаного впливу на компоненти АС, а також розголошення (витоку), перекручування (модифікації), втрати (зниження ступеня доступності) або незаконного тиражування інформації.

Найбільшу складність при рішенні питань забезпечення безпеки конкретних інформаційно-керуючих систем (інформаційних технологій) представляє завдання визначення реальних вимог до рівнів захисту критичної для суб’єктів інформації, що циркулює в АС. Орієнтація на інтереси суб’єктів інформаційних відносин дає ключ до рішення даного завдання для загального випадку.