4. Свойства информации, обеспечивающиеся в автоматизированных системах, и угрозы для информационной безопасности

1. Конфиденциальность информации

Субъективно определяемая (приписываемая характеристика информации), указывающая на необходимое введение ограничений на круг субъектов имеющих доступ к данной информации и обеспечиваемая способностью системы обработки информации сохранить указанную информацию в тайне от субъектов не имеющих полномочий доступа к ней.

2. Целостность информации

Существование информации в неискаженном виде, то есть, в неизменном по отношению к некоторому фиксированному состоянию. Целостность является частью более общей характеристики – достоверности информации, которая складывается из достоверности, полноты и точности (адекватность).

3. Доступность информации

Свойство системы, в которой циркулирует информация, характеризующаяся способностью обеспечивать своевременный беспрепятственный доступ к интересующей информации и готовность соответствующих служб (сервисов) к обслуживанию поступающих от субъектов запасов всегда, когда в этом наступает необходимость.

В соответствии с этими 3-мя свойствами рассматривают следующие виды угроз для информационных систем:

• Угроза нарушения конфиденциальности

• Угроза нарушения целостности

• Угроза отказа доступа

• Угроза раскрытия параметров системы безопасности системы

Под угрозой безопасности информации в компьютерной системе понимают события или действия, которые могут вызвать изменение функционирования компьютерной системы, связанных с нарушением защищенности обрабатываемой в ней информации

Угроза нарушения конфиденциальности заключается в том, что информация становится известной потому, что не располагает полномочиями доступа к ней. Нарушение конфиденциальности информации называется утечкой информации.

Угроза нарушения целостности включает в себя любое умышленное изменение информации, хранящейся в компьютерной системе или передаваемой из одной группы в другую. Целостность будет нарушена, если информация преднамеренно изменена злоумышленником, либо её несанкционированному изменению приводит случайная ошибка программного или аппаратного обеспечения

Угроза отказа служб или сервисов возникает всякий раз, когда в результате преднамеренных действий другого пользователя или злоумышленника блокируется доступ к некоторому ресурсу компьютерной системы. Такое блокирование может быть временным, либо постоянным.

Угроза раскрытия параметров системы безопасности системы является опосредованной, поскольку раскрытие параметров не наносит ущерба обрабатываемой информации, но раскрытие параметров системы защиты даст возможность реализоваться любым угрозам защиты информации.

5. Уровни доступа к информации в автоматизированных системах и методы реализации угроз информационной безопасности

Различают 4 уровня доступа к информации:

• Уровень носителей информации;

• Уровень средств взаимодействия с носителем;

• Уровень представления информации;

• Уровень содержания информации.

Данные уровни введены исходя из того, что:

• Информация фиксируется на каком-либо носителе;

• Если способ представления информации таков, что человек не может её непосредственно воспринять, то возникает необходимость в преобразовании информации к виду удобному для восприятия;

• Информация может быть охарактеризована способом своего преобразования информации;

• Человеку для работы должен быть доступен смысл информации, т.е. её семантика.

С данными уровнями доступа к информации связаны меры о защите этих уровней. Защита носителей информации должна обеспечивать как защиту самих носителей, так и защиту зафиксированной на них информации.

При этом необходимо помнить, что к носителям информации относят и каналы связи; документы.

Защита средств взаимодействия с носителем включает в себя методы защиты аппаратно-программных средств, входящих в состав компьютерной системы: средства вычислительной техники, ОС, прикладные программы.

В основном защита на 2 уровне связана с разграничением доступа.

Представление информации может рассматриваться как некоторая последовательность символов, поэтому защита представлений информации обеспечивается, прежде всего, криптографическими методами.

Защита содержания данных обеспечивается семантической защитой данных.

Основные методы реализации угроз

Как правило, злоумышленник может реализовать угрозу в одном из следующих направлений:

• Непосредственное обращение к объектам доступа;

• Создание программных и технических средств, обеспечивающих обращение к объектам доступа в обход средств защиты;

• Изменение злоумышленником средств защиты, позволяющее реализовать угрозы информационной безопасности;

• Внедрение в структуру компьютерной системы аппаратных и программных средств, нарушающих функции системы;

Эти направления могут быть реализованы с помощью одного следующих методов:

1. Определение типа и параметров носителей информации;

2. Хищение, либо копирование носителей информации;

3. Уничтожение злоумышленником машинных носителей информации;

4. Выведение из строя носителей информации;

5. Несанкционированный доступ к ресурсам компьютерной системы;

6. Перехват данных переданных по каналам связи;

7. Внесение пользователем несанкционированных изменений в программы и данные;

8. Установка и использование нештатного ПО;

9. Заражение информации компьютерными вирусами;

10. Обход механизмов защиты компьютерной системы;

11. Проявление ошибок проектирования и разработки программных и аппаратных средств компьютерной системы;

12. Визуальное наблюдение;

13. Дешифрование (раскрытие представлений информации);

14. Внесение искажений в представлении данных;

15. Уничтожение данных;

16. Искажение семантических и синтаксических конструкций языка;

17. Определение способа определения информации;

18. Раскрытие содержания информации;

19. Внедрение дезинформации;

20. Наложение запрета на использование информации;

21. Определение содержания информации на качественном уровне;

22. Получение информации о программно-аппаратной среде;

23. Получение информации о функции, выполняемой системой.

	Уровень целостности	Раскрытие параметров безопасности	Запрет доступа	Угроза
Уровень представления информации	16, 17	19	18	14, 15
Уровень содержания информации	21	23	22	20
Уровень носителей информации	3	1	4	2
Уровень средств взаимодействия с носителем	10, 11, 9	12, 24, 25	12, 13	5, 6,7, 8