Економічна безпека - Користін О.Є. - § 2. Поняття та класифікація загроз безпеки інформації

Сучасна література поняття "інформаційна загроза" розглядає як потенційну можливість певним чином порушити інформаційну безпеку, чи ступінь імовірності виникнення такого явища (події), наслідком якого можуть бути небажані впливи на інформацію, тоді як намагання реалізувати загрозу розглядається атакою, а той, хто починає таку спробу, — як зловмисник. Потенційні зловмисники називаються джерелами загрози. Успішність атаки може приводити до втрати інформацією однієї з критичних особливостей (конфіденційності, цілісності чи доступу до інформації).

Зазвичай загроза є наслідком наявності вразливих місць у захисті інформаційних систем (таких, наприклад, як можливість доступу сторонніх осіб до критично важливого устаткування або помилки у програмному забезпеченні). Загроза інформації, що циркулює в інформаційній системі, залежить від її структури та конфігурації, технології оброблення інформації в ній, стану навколишнього фізичного середовища, а також дій персоналу.

Варто наголосити, що ряд загроз не слід вважати наслідком якихось помилок, прорахунків чи злого умислу, адже вони існують внаслідок самої природи інформаційних систем (загроза відключення електрики чи її параметрів за допустимі межі існує через залежність апаратного забезпечення інформаційної системи від якісного електроживлення). Часто існують загрози заподіяння шкоди системам оброблення даних через фізичний вплив стихійних природних явищ, що не залежать від людини.

Зважаючи на це, розглянемо найбільш розповсюджені загрози, якими уразливі сучасні інформаційні системи, що дасть змогу вибрати найбільш економічні засоби забезпечення безпеки. Адже необізнаність у цій справі призведе до перевитрат коштів і, що ще гірше, до концентрації ресурсів там, де вони особливо й непотрібні, за рахунок послаблення справді вразливих напрямів.

Найбільш типовою природною загрозою системам оброблення даних, що не завжди пов'язана з діяльністю людини, як це не прикро, є пожежа. А тому особливу увагу при проектуванні та експлуатації інформаційних систем варто приділяти захисту від пожежі носіїв комп'ютерних даних, файлів-серверів, окремих обчислювальних машин, центрів зв'язку, архівів, іншого устаткування і приміщень або спеціальних контейнерів, де сконцентровані величезні масиви важливої інформації.

З цією метою можуть бути використані спеціальні вогнетривкі сейфи, контейнери тощо. Зокрема, в Західній Європі та у нас в Україні добре зарекомендувало себе устаткування для захисту носіїв інформації та інформаційно-обчислювальних комплексів німецької фірми "Лампертц", що через свою специфіку найчастіше використовується в комерційних банках, де втрата інформації може призвести до катастрофічних наслідків.

Інша загроза для інформаційних систем — удари блискавки. Ця проблема виникає нечасто, але шкоди може бути завдано дуже значної, причому шкоди не стільки матеріальної, пов'язаної з ремонтом або заміною техніки, що вийшла з ладу, і відновленням знищеної інформації, але насамперед тому, що виходять з ладу окремі робочі станції або сервери мережі (якщо не вживаються необхідні технічні заходи захисту від потужних електромагнітних випромінювань грозових розрядів), і надовго паралізується робота об'єкта, а всі операції припиняються. Фірма й особливо банк у такій ситуації втрачає свій імідж надійного партнера і, як наслідок, клієнтів. Такі випадки мали місце у Києві, але зважаючи на зазначену вище причину керівництвом банку приховувалися і не просочилися до преси. Для більшості суб'єктів бізнесу втрата імені, поява недобрих чуток про внутрішні проблеми набагато неприємніші фінансових втрат, часом навіть і досить відчутних.

Вивчаючи зміст поняття "загроза", бачимо, що за різних умов воно трактується по-різному. Зокрема, якщо фірма є відносно відкритою, то для неї не існує загроз конфіденційності, адже вся інформація є загальнодоступною, тоді як для більшості фірм нелегальний доступ є серйозною небезпекою. Тобто загрози, як і все в інформаційній безпеці, залежить від суб'єктів інформаційних відносин.

Беручи до уваги типову фірму, загрози її інформаційній безпеці можна класифікувати за такими критеріями:

• за аспектом інформаційної безпеки (доступність, цілісність, конфіденційність), на що спрямовані загрози передусім;

• за компонентами інформаційних систем, на які спрямовані загрози (дані, програми, апаратура, підтримуюча інфраструктура);

• за способом здійснення (випадкові/навмисні дії природного/ техногенного характеру);

• за розміщенням джерела загроз (всередині/ззовні інформаційної системи).

Тепер детальніше зупинимося на характеристиці вказаних загроз, критерієм яких є аспект інформаційної безпеки (доступність, цілісність, конфіденційність).

Найбільш розповсюдженими і небезпечними загрозами доступності є ненавмисні помилки постійних користувачів, операторів, системних адміністраторів та інших осіб, що обслуговують інформаційні системи. Саме такі помилки зазвичай і стають загрозами (неправильно введені дані чи помилка в програмі, що призвела до краху системи), іноді вони створюють слабкі місця, якими можуть скористатися зловмисники. Статистика свідчить, що близько 65 % втрат — наслідок ненавмисних помилок. Виходячи з цього, найбільш радикальний спосіб боротьби з ненавмисними помилками — максимальна автоматизація і строгий контроль.

На другому місці за розмірами збитків — крадіжки та підробки. За даними, що обертаються серед фахівців, у 2006 році внаслідок подібних протиправних діянь з використанням персональних комп'ютерів американським організаціям було завдано загальної шкоди у розмірі 1 млрд 882 млн дол. США. Можна припустити, що справжній розмір шкоди набагато більший, оскільки багато фірм зі зрозумілих причин приховують такі інциденти. У більшості розслідуваних випадків винуватцями виявлялися штатні співробітники фірм, добре обізнані з режимом роботи і заходами безпеки. Це ще раз переконує нас, що внутрішні загрози набагато небезпечніші за зовнішні.

Інші загрози доступності класифікують за компонентами інформаційних систем, на які спрямовані загрози:

• відмовлення користувачів;

• внутрішня відмова інформаційних систем;

• відмова підтримуючої інфраструктури.

Стосовно користувачів зазвичай розглядаються такі загрози:

• небажання працювати з інформаційною системою (найчастіше виявляється в разі потреби освоювати нові можливості і у випадку розбіжності між запитами користувачів і фактичними можливостями та технічними характеристиками);

• неможливість працювати із системою через відсутність відповідної підготовки (низький рівень загальної комп'ютерної грамотності, невміння інтерпретувати діагностичні повідомлення, невміння працювати з документацією тощо);

• неможливість працювати із системою через відсутність технічної підтримки (неповнота документації, недолік довідкової інформації тощо).

Основними джерелами внутрішніх відмовлень є:

• відступ (випадковий або навмисний) від установлених правил експлуатації;

• вихід системи зі штатного режиму експлуатації через випадкові або навмисні дії користувачів або обслужного персоналу (перевищення розрахункової кількості запитів, надмірний обсяг оброблюваної інформації тощо);

• відмовлення програмного й апаратного забезпечення;

• опромінення технічних засобів зондувальними сигналами, наслідком чого може стати викривлення чи знищення інформації, а у випадку сильного опромінення — вихід з ладу апаратури;

• загрози використання спеціальних методів і технічних засобів (фотографування, електронні закладки, що знищують або викривляють інформацію);

• знищення інформаційних даних;

• пошкодження або знищення апаратури.

Стосовно підтримуючої інфраструктури рекомендується розглядати такі загрози:

• порушення роботи (випадкове або навмисне) систем зв'язку, електроживлення, водо- та/або теплопостачання, кондиціонування;

• пошкодження або знищення майна приміщень;

• неможливість або небажання обслужного персоналу та/або користувачів виконувати свої обов'язки (громадські заворушення, аварії на транспорті, терористичний акт або його загроза, страйк тощо).

Досить небезпечними є так звані скривджені співробітники — нинішні і колишні. Як правило, вони прагнуть завдати шкоди фірмі-"кривдникові", наприклад:

• зіпсувати устаткування;

• вмонтувати логічну бомбу, що згодом зруйнує програми та/або дані;

• знищити дані.

Скривджена категорія співробітників (навіть ті, які вже не працюють, але знайомі з порядками на фірмі), може завдати чималої шкоди. А тому при звільненні таких співробітників варто стежити за тим, щоб їхні права доступу (логічного та фізичного) до інформаційних ресурсів анулювалися.

Багато говорять і пишуть також про хакерів, але загроза, що виходить від них, зазвичай перебільшується. Справді, майже кожен інтернет-сервер декілька разів щодня піддається спробам проникнення; справді, іноді такі спроби виявляються вдалими; справді, інколи подібні дії пов'язані зі шпигунством. Однак загалом шкода від діяльності хакерів (порівняно з іншими загрозами) є не настільки значною. Імовірно, найбільше лякає непередбачуваність дій людей такого сорту. Уявіть собі, що в будь-який момент до вас у квартиру можуть забратися сторонні особи. Навіть якщо вони не мають злого наміру, а зайшли просто так, подивитися, приємного в цьому мало.

Багато говорять і пишуть про програмні віруси. Однак дотримання нескладних правил комп'ютерної гігієни зводить ризик зараження практично до нуля. Там де працюють, а не грають, кількість заражених комп'ютерів становить близько частки відсотка. Такими є основні загрози, на частку яких припадає левова частка втрат, що їх зазнають інформаційні системи.

Серйозну загрозу інформаційній безпеці становлять також злочинні дії, спрямовані на розкрадання, привласнення, підміну, підключення, ламання (знищення), диверсію. Такі дії можуть здійснюватися до оброблення інформації чи в процесі її оброблення, з доступом до елементів інформаційної системи чи без нього, активно чи пасивно (тобто зі зміною стану системи чи без такого).

Залежно від цього основні типи злочинних загроз інформації можна класифікувати в такий спосіб:

• до оброблення інформації та без доступу зловмисника до елементів інформаційної системи (підслуховування розмов; використання оптичних, візуальних чи акустичних засобів);

• у процесі оброблення інформації та без доступу зловмисника до елементів інформаційної системи (електромагнітні випромінювання; зовнішнє електромагнітне випромінювання; підключення реєструючої апаратури);

• до оброблення інформації з доступом зловмисника до елементів інформаційної системи, але без зміни останніх (копіювання магнітних чи інших носіїв, вихідних чи інших документів; крадіжка виробничих відходів);

• у процесі оброблення з доступом зловмисника до елементів інформаційної системи, але без зміни останніх (копіювання інформації у процесі оброблення; маскування під зареєстрованого користувача; використання недоліків мов програмування, програмних пасток, недоліків операційних систем та вірусів);

• до оброблення інформації з доступом зловмисника до елементів інформаційної системи зі зміною останніх (підміна машинних носіїв, вихідних документів, апаратури, елементів програм, елементів баз даних, розкрадання носіїв і документів; включення в програми "троянських коней", "бомб" тощо; читання залишкової інформації після виконання санкціонованих запитів);

• у процесі оброблення з доступом зловмисника до елементів інформаційної системи зі зміною останніх;

• незаконне підключення до апаратури і ліній зв'язку, зняття інформації на шинах живлення.

Джерелами названих вище загроз інформації можуть бути люди, апаратно-програмні засоби та середовище, що оточує інформаційну систему та її компоненти, що можуть впливати на інформацію ззовні (зовнішні джерела загроз) чи перебувати усередині інформаційної системи (внутрішні джерела загроз).

Зважаючи на це, до зовнішніх джерел загроз інформації відносять:

• діяльність розвідувальних і спеціальних служб;

• діяльність політичних, військових, фінансових та інших економічних структур, спрямована проти інтересів держави та бізнесу;

• злочинні дії окремих груп, формувань та фізичних осіб.

До внутрішніх джерел загроз відносять:

• протизаконну діяльність різних структур, угруповань та окремих осіб у сфері використання інформації з метою приховування правопорушень, заподіяння збитків законним інтересам інших юридичних чи фізичних осіб;

• порушення встановлених правил збирання, оброблення і передавання інформації.