1.3. Важливість і складність проблеми інформаційної безпеки

Інформаційна безпека є одним з найважливіших аспектів інтегральноїбезпеки, на якому б рівні ми не розглядали останню - національному,галузевому, корпоративному або персональному.

Для ілюстрації цього положення обмежимося декількома прикладами.

• За розпорядженням президента США Клінтона (від 15 липня 1996 року,номер 13010) була створена Комісія із захисту критично важливоїінфраструктури як від фізичних нападів, так і від атак, початих за допомогоюінформаційної зброї. На початку жовтня 1997 року при підготовці доповідіпрезидентові глава вищезгаданої комісії Роберт Марш заявив, що в цей час ніуряд, ні приватний сектор не мають у своєму розпорядженні засобів захистувід комп'ютерних атак, здатних вивести з ладу комунікаційні мережі й мережіенергопостачання.

• Американський ракетний крейсер "Йорктаун" був змушений повернутисяв порт через численні проблеми із програмним забезпеченням, щофункціонувало на платформі Windows NT 4.0 (Government ComputerNews, липень 1998). Таким виявився побічний ефект програми ВМФ СШАпо максимально широкому використанню комерційного програмногозабезпечення з метою зниження вартості військової техніки.

• Заступник начальника керування по економічних злочинах Міністерствавнутрішніх справ Росії повідомив, що російські хакери з 1994 по 1996 ріквчинили майже 500 спроб проникнення в комп'ютерну мережуЦентрального банку Росії. В 1995 році ними було викрадено 250 мільярдіврублів (ІТАР-ТАРС, АР, 17 вересня 1996 року).

• Як повідомив журнал Internet Week від 23 березня 1998 року, втратинайбільших компаній, викликані комп'ютерними вторгненнями,продовжують збільшуватися, незважаючи на ріст витрат на засобизабезпечення безпеки. Відповідно до результатів спільного дослідження

Інституту інформаційної безпеки й ФБР. в 1997 році збиток відкомп'ютерних злочинів досяг 136 мільйонів доларів, що на 36% більше,ніж в 1996 році. Кожен комп'ютерний злочин завдає шкоди приблизно в200 тисяч доларів.

• У середині липня 1996 року корпорація General Motors відкликала 292860автомобілів марки Pontiac, Oldsmobile й Buick моделей 1996 й 1997 років,оскільки помилка в програмному забезпеченні двигуна могла спричинитипожежу.

• У лютому 2001 року двоє колишніх співробітників компанії CommerceOne, скориставшись паролем адміністратора, видалили із серверафайли, що становили великий (на кілька мільйонів доларів) проект дляіноземного замовника. На щастя, була резервна копія проекту, так щореальні втрати обмежилися витратами на наслідок і засоби захисту відподібних інцидентів у майбутньому. У серпні 2002 року злочинці посталиперед судом.

• Одна студентка втратила стипендію в 18 тисяч доларів у Мічиганськомууніверситеті через те, що її сусідка по кімнаті скористалася їх спільнимсистемним паролем і відправила від імені своєї жертви електронний лист ізвідмовою від стипендії.

Зрозуміло, що подібних прикладів безліч, можна згадати й інші випадки -недоліків в порушеннях ІБ немає й не передбачається. Чого коштує одна тільки"Проблема 2000" - сором і ганьба програмного співтовариства!

При аналізі проблематики, пов'язаної з інформаційною безпекою, необхідновраховувати специфіку даного аспекту безпеки, що полягає у тому, щоінформаційна безпека є складовою частиною інформаційних технологій -області, що розвивається надзвичайно високими темпами. Тут важливі нестільки окремі рішення (закони, навчальні курси, програмно-технічні засоби),що перебувають на сучасному рівні, скільки механізми генерації нових рішень,що дозволяють жити в темпі технічного прогресу.

На жаль, сучасна технологія програмування не дозволяє створюватибезпомилкові програми, що не сприяє швидкому розвитку засобів забезпеченняІБ. Варто виходити з того, що необхідно конструювати надійні системи(інформаційної безпеки) із залученням ненадійних компонентів (програм). Упринципі, це можливо, але вимагає дотримання певних архітектурнихпринципів і контролю стану захищеності протягом усього життєвого циклу ІС.

Наведемо ще кілька цифр. У березні 1999 року був опублікований черговий,четвертий по рахунку, річний звіт "Комп'ютерна злочинність і безпека-1999:проблеми й тенденції" (Issues and Trends: 1999 CS1/FB1 Computer Crime and SecuritySurvey). У звіті відзначається різкий ріст числа звернень до правоохоронних органівіз приводу комп'ютерних злочинів (32% із числа опитаних); 30% респондентівповідомили про те, що їхні інформаційні системи були зламані зовнішнімизловмисниками; атакам через Internet піддавалися 57% опитаних; у 55% випадкахвідзначалися порушення з боку власних співробітників. Примітно, що 33%респондентів на питання " чи були зламані ваші Web-сервери й системи електронноїкомерції за останні 12 місяців? " відповіли "не знаю".

В аналогічному звіті, опублікованому у квітні 2002 року, цифри змінилися,але тенденція залишилася колишнюю: 90% респондентів (переважно з великихкомпаній й урядових структур) повідомили, що за останні 12 місяців у їхніхорганізаціях мали місце порушення інформаційної безпеки; 80% констатувалифінансові втрати від цих порушень; 44% (223 респондента) змогли й/або захотілиоцінити втрати кількісно, загальна сума склала більше 455 млн. доларів.Найбільший збиток нанесли крадіжки й підробки (більше 170 й 115 млн. доларіввідповідно).

Настільки ж тривожні результати втримуються в огляді information Week,опублікованому 12 липня 1999 року. Лише 22% респондентів заявили провідсутність порушень інформаційної безпеки. Поряд з поширенням вірусіввідзначається різкий ріст числа зовнішніх атак.

Збільшення кількості атак - ще не найбільша неприємність. Гірше те, щопостійно виявляються нові уразливі місця в програмному забезпеченні (вище мивказувати на обмеженість сучасної технології програмування) і, як наслідок,з'являються нові види атак.

Так, в інформаційному листі Національного центру захисту інфраструктуриСША (National Infrastructure Protection Center, NIPC) від 21 липня 1999 рокуповідомляється, що за період з 3 по 16 липня 1999 року виявлено дев'ять проблемз ПЗ, ризик використання яких оцінюється як середній або високий (загальнечисло виявлених уразливих місць дорівнює 17). Серед "потерпілих" операційнихплатформ - майже всі різновиди ОС Unix, Windows, MacOS, так що ніхто не можепочуватися спокійно, оскільки нові помилки відразу починають активновикористовуватися зловмисниками.

У таких умовах системи інформаційної безпеки повинні вміти протистоятирізноманітним атакам, як зовнішнім, так і внутрішнім, атакам автоматизованим іскоординованим. Іноді напад триває долі секунди; часом промацуванняуразливих місць ведеться повільно й розтягується на години, так що підозрілаактивність практично непомітна. Метою зловмисників може бути порушення всіхскладових ІБ - доступності, цілісності або конфіденційності.