47. Класифікація загроз безпеці та вразливостей інформації в комп'ютерних системах. Етичні та правові основи захисту інформації.

Загроза — будь-які обставини чи події, що можуть спричинити порушення політики безпеки інформації та (або) нанесення збитку ІКС. Тобто загроза — це будь-який потенційно можливий несприятливий вплив.

До можливих загроз безпеці інформації відносять:

• стихійні лиха й аварії;

• збої та відмови устаткування;

• наслідки помилок проектування і розроблення компонентів автоматизованих систем (надалі АС);

• помилки персоналу під час експлуатації;

• навмисні дії зловмисників і порушників.

Ознака класифікації	Причини, спрямованість, характеристики загроз.
Природа виникнення	Природні загрози (виникають через впливи на АС та її компоненти об'єктивних фізичних процесів або стихійних природних явищ, що не залежать від людини). Штучні загрози (викликані діяльністю людини)
Принцип несанкціонованого доступу (НСД)	Фізичний доступ: подолання рубежів територіального захисту і доступ до незахищених інформаційних ресурсів; розкрадання документів і носіїв інформації; візуальне перехоплення інформації, виведеної на екрани моніторів і принтери; підслуховування; перехоплення електромагнітних випромінювань. Логічний доступ (доступ із використанням засобів комп'ютерної системи)
Мета НСД	Порушення конфіденційності (розкриття інформації). Порушення цілісності (повне або часткове знищення інформації, спотворення, фальсифікація, викривлення). Порушення доступності (наслідок — відмова в обслуговуванні).
Причини появи вразливостей різних типів	Недоліки політики безпеки. Помилки адміністративного керування. Недоліки алгоритмів захисту. Помилки реалізації алгоритмів захисту
Характер впливу	Активний (внесення змін в АС). Пасивний (спостереження).
Режим НСД	За постійної участі людини (в інтерактивному режимі) можливе застосування стандартного ПЗ. Без особистої участі людини (у пакетному режимі) найчастіше для цього застосовують спеціалізоване ПЗ.
Місцезнаходження джерела НСД	Внутрішньосегментне (джерело знаходиться в локальній мережі). У цьому випадку, як правило, ініціатор атаки — санкціонований користувач. Міжсегментне: несанкціоноване вторгнення з відкритої мережі в закриту; порушення обмежень доступу з одного сегмента закритої мережі в інший.
Наявність зворотнього зв'язку	Зі зворотним зв'язком (атакуючий отримує відповідь системи на його вплив). Без зворотного зв'язку (атакуючий не отримує відповіді)
Рівень моделі взаємодії відкритих систем OSI (Open Systems Interconnection)	Вплив може бути здійснено на таких рівнях:фізичному, канальному, мережевому, транспортному, сеансовому, представницькому, прикладному рівнях, тобто на всіх рівнях моделі OSI.

Методи та засоби захисту інформації

Система інформаційної безпеки, як і будь-яка ІС, повинна мати певні види власного програмного забезпечення, спираючись на які вона буде здатна виконати свою цільову функцію.

1. Правове забезпечення - сукупність законодавчих актів, нормативно-правових документів, положень, інструкцій, інструкцій, вимоги яких є обов'язковими в рамках сфери їх діяльності у системі захисту інформації.

2. Організаційне забезпечення. Мається на увазі, що реалізація інформаційної безпеки здійснюється певними структурними одиницями, такими, наприклад, як служба безпеки фірми і її складові структури: режим, охорона та ін

3. Інформаційне забезпечення, що включає в себе відомості, дані, показники, параметри, що лежать в основі вирішення завдань, що забезпечують функціонування СИБ. Сюди можуть входити як показники доступу, обліку, зберігання, так і інформаційне забезпечення розрахункових завдань різного характеру, пов'язаних з діяльністю служби безпеки.

4. Технічне (апаратне) забезпечення. Передбачається широке використання технічних засобів, як для захисту інформації, так і для забезпечення діяльності СИБ.

5. Програмне забезпечення. Маються на увазі різні інформаційні, облікові, статистичні та розрахункові програми, що забезпечують оцінку наявності та небезпеки різних каналів витоку і способів несанкціонованого доступу до інформації.

6. Математичне забезпечення. Це - математичні методи, що використовуються для різних розрахунків, пов'язаних з оцінкою небезпеки технічних засобів, які мають зловмисники, зон і норм необхідного захисту.

7. Лінгвістичне забезпечення. Сукупність спеціальних мовних засобів спілкування фахівців і користувачів у сфері забезпечення інформаційної безпеки.

8. Нормативно-методичне забезпечення. Сюди входять норми і регламенти діяльності органів, служб, засобів, що реалізують функції захисту інформації; різного роду методики, що забезпечують діяльність користувачів при виконанні своєї роботи в умовах жорстких вимог дотримання конфіденційності.

Нормативно-методичне забезпечення може бути злито з правовим.

Слід зазначити, що з усіх заходів захисту в даний час провідну роль відіграють організаційні заходи. Тому виникає питання про організацію служби безпеки.

Реалізація політики безпеки вимагає настроювання засобів захисту, управління системою захисту і здійснення контролю функціонування ІС.

Як правило, завдання управління і контролю вирішуються адміністративної групою, склад і розмір якої залежить від конкретних умов. Дуже часто в цю групу входять адміністратор безпеки, менеджер безпеки і оператори.

У найбільшій мережі світу Інтернет атаки на комп'ютерні системи прокочуються, як цунамі, не знаючи ні державних кордонів, ні расових або соціальних відмінностей. Йде постійна боротьба інтелекту, а також організованості системних адміністраторів та винахідливості хакерів.

Розроблена корпорацією Microsoft операційна система

Windows.NT як основу ІС набуває все більшого поширення. І звичайно, хакери усього світу звернули на неї пильну увагу.

У міру появи повідомлень про вразливі місця в Windows NT корпорація Microsoft швидко створює спочатку латки (hotfixes), а потім пакети оновлень (service packs), що допомагають захистити операційну систему. В результаті Windows NT постійно змінюється на краще. Зокрема, у ній з'являється все більше можливостей для, побудови мережі, справді захищеною від несанкціонованого доступу до інформації.

Протидія атакам зловмисних програм передбачає комплекс різноманітних заходів організаційного характеру і використання антивірусних програм. Цілі вжитих заходів - це зменшення ймовірності інфікування АІС, виявлення фактів зараження системи, зменшення наслідків інформаційних інфекцій, локалізація або знищення вірусів; відновлення інформації в ІВ.

Регламентація - створення таких умов автоматизованої обробки, зберігання та передачі інформації, що захищається, при яких норми і стандарти щодо захисту виконуються найбільше.

Примус - метод захисту, при якому користувачі та персонал ІС змушені дотримуватися правил обробки, передачі і використання захищається інформації під загрозою матеріальної, адміністративної чи кримінальної відповідальності.

Спонукання - метод захисту, що спонукає користувачів і персонал ІС не порушувати встановлені порядки за рахунок дотримання сформованих моральних та етичних норм.

Вся сукупність технічних засобів поділяється на апаратні і фізичні.

Апаратні засоби - пристрої, що вбудовуються безпосередньо в обчислювальну техніку, або пристрої, які сполучаються з нею по стандартного інтерфейсу.

Фізичні засоби включають різні інженерні пристрої і споруди, які перешкоджають фізичній проникненню зловмисників на об'єкти захисту та здійснюють захист персоналу

(особисті засоби безпеки), матеріальних засобів і фінансів, інформації від протиправних дій. Приклади фізичних коштів: замки на дверях, грати на вікнах, засоби електронного охоронної сигналізації і т.п.

Програмні засоби - це спеціальні програми і програмні комплекси, призначені для захисту інформації в ІС. < p> Як зазначалося, багато хто з них злиті з ПЗ самої ІВ.

З коштів ПЗ системи захисту необхідно виділити ще програмні засоби, що реалізують механізми шифрування (криптографії), Криптографія - це наука про забезпечення таємності та/або автентичності (справжності) переданих повідомлень.

Організаційні засоби здійснюють своїм комплексом регламентацію виробничої діяльності в ІС та взаємовідносин виконавців на нормативно-правовій основі таким чином, що розголошення, витік і несанкціонований доступ до конфіденційної інформації стає неможливим або істотно ускладнюється за рахунок проведення організаційних заходів. Комплекс цих заходів реалізується групою інформаційної безпеки, але повинен знаходитися під контролем першого керівника.

Законодавчі засоби захисту визначаються законодавчими актами країни, якими регламентуються правила користування, обробки та передачі інформації обмеженого доступу і встановлюються міри відповідальності за порушення цих правил .

Морально-етичні засоби захисту включають всілякі норми поведінки, які традиційно склалися раніше, складаються в міру поширення ІС та ІТ в країні і в світі або спеціально розробляються. Морально-етичні норми можуть бути неписані (наприклад, чесність) або оформлені в якийсь звід (статут) правил або розпоряджень. Ці норми, як правило, не є законодавчо затвердженими, але оскільки їх недотримання призводить до падіння престижу організації, вони вважаються обов'язковими для виконання.

Характерним прикладом таких приписів є Кодекс професійної поведінки членів Асоціації користувачів ЕОМ США.