Інформаційна безпека України в умовах євроінтеграції - Ліпкан В.А. - 4. Поняття загроз інформаційній безпеці

Аналізові змісту поняття "інформаційна безпека" зазвичай дослідниками приділяється значна увага, у той час як такі поняття, як небезпека і загроза розглядаються дещо спрощено і здебільшого у звуженому плані, відірваному від контексту поняття "інформаційна безпека".

Необхідність у розробленні поняття "загроза" визначається: 1) відсутністю єдиного підходу до дослідження основних понять інформаційної безпеки; 2) недостатньою розробленістю родового поняття "загроза" і питань його відмежування від інших споріднених понять, таких, як "небезпека", "виклик", "ризик", і відповідно видового "інформаційна загроза" і його відмежування від таких понять, як "інформаційна війна", "інформаційне протиборство", "інформаційний тероризм"; 3) наявністю невирішеної проблеми формування категорійно-понятійного апарату теорії інформаційної безпеки; 4) можливістю на підставі теоретичних розробок даного апарату формувати адекватну систему моніторингу та управління загрозами та небезпеками в інформаційній сфері.

Найбільш широко загрози інформаційним ресурсам можна розглядати як потенційно можливі випадки природного, технічного або антропогенного характеру, які можуть спричинити небажаний вплив на інформаційну систему, а також на інформацію, яка зберігається в ній. Виникнення загрози, тобто віднаходження джерела актуалізації певних подій у загрози характеризується таким елементом, як уразливість. Саме за наявності вразливості як певної характеристики системи і відбувається активізація загроз. Безперечно, що самі загрози за своєю суттю відповідно до теорії множин є не вичерпними, а отже і не можуть бути піддані повному описові.

Інтегруючи різноманітні підходи, а також пропозиції щодо розв'язання даного питання, вважаємо, що можна виділити такі види загроз інформаційній безпеці: розкриття інформаційних ресурсів; порушення їх цілісності; збій в роботі самого обладнання.

5. Види загроз інформаційній безпеці

Розглянемо більш детально кожний з цих видів.

Загроза розкриття інформаційних ресурсів полягає у тому, що дані, інформація і знання стають відомими тим, кому не слід цього знати. У межах нашої роботи під загрозою розкриття розумітимемо такий стан, коли отриманий несанкціонований доступ до ресурсів системи, при чому йдеться як про відкриті, такі і ті ресурси, які мають обмежений доступ. Ці ресурси мають передаватися один одному і зберігатися у єдиній інформаційній системі.

Загроза порушення цілісності інформаційних ресурсів полягає в умисному антропогенному впливі (модифікація, видалення, зниження) даних, які зберігаються в інформаційній системі суб'єкта управління, а також передаються від даної інформаційної системи до інших.

Загроза збою в роботі самого обладнання може виникнути при блокуванні доступу до одного або декількох ресурсів інформаційної системи. Насправді блокування може бути постійним, так щоб ресурс, що запитується, ніколи не був отриманий, або може викликати затримання в отриманні ресурсу, що запитується, що є достатнім для того, щоб він став некорисним.

Відповідно до викладеного, розглянемо наступні загрози, які загрожують інформаційній безпеці. Розгляд даних загроз робиться з метою продемонструвати, що знання загроз і уразливих місць дозволить організувати адекватну систему управління інформаційною безпекою.

Найбільш частими та небезпечними є ненавмисні помилки користувачів, операторів, системних адміністраторів та інших осіб, які обслуговують інформаційні системи. Іноді такі помилки є загрозами (невірно введені дані, помилка в програмі, котра викликає колапс системи), іноді вони створюють ситуації, якими не лише можуть скористатися зловмисники, а які самі по собі становлять безпосередню небезпеку об'єкта. Яскравим прикладом є уведення невірної інформації в комп'ютер швейцарським оператором на землі, внаслідок чого у небі зіткнулося два літаки, в одному з яких летіли діти з Росії. Наслідки були трагічними як для пасажирів літака, так і для оператора, якого через деякий час після катастрофи було навмисно вбито.

У цілому ж, за результатами проведених фахівцями з інформаційної безпеки досліджень, понад 65 % шкоди, яка завдається інформаційним ресурсам, є наслідком ненавмисних помилок. Пожежі та землетруси, тобто загрози природного характеру, трапляються набагато рідше. Саме тому, доцільним є акцентування уваги на більшому впровадженні комп'ютерних систем для забезпечення безпеки. Плідною у даному контексті є пропонована програма Національним інститутом стратегічних досліджень "Електронна Україна""".

Наступними, за розміром шкоди, можна виділити крадіжки і підлоги, У більшості випадків, суб'єктами вчинення даних дій були штатні працівники цих організацій, які є добре обізнаними у роботі інформаційної системи, а також заходів безпеки*''.

У цьому аспекті дуже небезпечними є співробітники, які є незадоволеними або не поділяють цінностей тієї організації, де вони працюють. Одним з яскравих прикладів є дія колишнього генерала СБУ, одного з керівників ГУР України Валерія Кравченка, який 18 лютого 2004 року, маючи на руках матеріали з обмеженим доступом, безпідставно надав до них доступ іншим особам, зокрема журналістам Дойче Веле'"'.

У найбільш загальному плані діями ображених співробітників керує намагання нанести шкоду організації, в якій вони працювали, і яка, на їхню думку, їх образила. Така образа може знайти відображення у вчиненні наступних дій:

o пошкодження обладнання;

o вбудовування логічної бомби, яка з часом руйнує програми і дані;

o введення невірних даних;

o знищення даних;

o зміна даних;

o модифікація даних;

o надання доступу до даних із обмеженим доступом тощо. Ображені співробітники обізнані з порядками в організації і

здатні нашкодити вельми ефективно. Необхідно слідкувати за тим, щоб при звільненні співробітника його права доступу до інформаційних ресурсів були повністю обмежені, а після його звільнення змінені всі паролі доступу до внутрішньої мережі. Більш того, слід обмежити його спілкування із особами, які мають доступ до важливої інформації.

Окрім антропогенних, слід виділяти загрози природного характеру. Загрози природного характеру характеризуються великим спектром. По-перше, можна виділити порушення інфраструктури: аварії електроживлення, тимчасово відсутній зв'язок, перебої із водопостачанням тощо. Небезпечними також є стихійні лиха, землетруси, урагани, смерчі, бурани, тайфуни тощо. Загальна процентна кількість інформаційних загроз природного характеру за даними американських аналітиків становить приблизно 14 відсотків від загальної кількості.

Безперечно певну частку загроз становлять собою хакери, водночас їхня діяльність більше носить міфічний характер, а самі можливості хакерів є більше їхньою ж продукцією, яка лякає необізнаних. Насправді, щодня сервери органів державного управління підлягають атакам хакерів, водночас їхній загальний коефіцієнт шкоди порівняно зі шкодами іншого характеру вельми маленький.

Серйозною загрозою можуть бути програмні віруси. Водночас дотримання правил користування комп'ютерною технікою, а також наявність у штаті співробітників органу управління відповідного фахівця з даних питань значно полегшить розв'язання зазначених завдань.

Більш детально розглянемо класифікацію загроз. Отже, розкраданню підлягають:

o апаратні засоби (блоки, вузли і готові вироби), якими оснащуються комп'ютери і мережі;

o носії програмного забезпечення та інформації;

o тверді копії із роздрукованою інформацією. Розкрадання може бути організовано з:

o робочих місць користувачів;

o у момент транспортування;

o з місць збереження.

Джерелами помилок у програмному забезпеченні (ПЗ) можуть бути:

o логічні помилки розробників програмного забезпечення;

o непередбачені ситуації, які проявляються при модернізації, заміні чи додаванні нових апаратних засобів, встановленні нових додатків, виході на нові режими роботи ПЗ, появі раніше не зафіксованих нештатних ситуацій;

o віруси, якими інфіковані програми;

o спеціальні програмні компоненти, які передбачені розробниками ПЗ для різного роду цілей.

Віруси самі по собі також становлять небезпеку і можуть знаходити свій вияв у видаванні повідомлень на екран монітора; затиранні інформації на дисках; переміщенні фалів до інших папок; уповільненні роботи комп'ютера; зборі інформації про роботу організації тощо.

Зважаючи на компетенцію органів державного управління, на наш погляд загрози атаки на їх інформаційні системи може здійснюватися з метою:

o встановлення доступу до інформації з обмеженим доступом;

o викрадення ключів, паролів, ідентифікаторів, списку користувачів;

ініціалізація контрольованого алгоритму роботи комп'ютерної системи;

o приведення у непридатність частини або всієї системи органів державного управління.

Відповідно виділяють і види загроз. Через їх чисельність нами була зроблена спроба, з урахуванням існуючих напрацювань щодо питань класифікації загроз національній безпеці, виокремити загрози інформаційній безпеці.

За джерелами походження:

o природного походження - включають в себе небезпечні геологічні, метеорологічні, гідрологічні морські та прісноводні явища, деградацію ґрунтів чи надр, природні пожежі, масове ураження сільськогосподарських рослин і тварин хворобами чи шкідниками, зміна стану водних ресурсів і біосфери тощо;

o техногенного походження - транспортні аварії (катастрофи), пожежі, неспровоковані вибухи чи їх загроза, раптове руйнування каналів зв'язку, аварії на інженерних мережах і спорудах життєзабезпечення, аварії головних серверів органів державного управління тощо;

o антропогенного походження - вчинення людиною різноманітних дій з руйнування інформаційних систем, ресурсів, програмного забезпечення об'єкта тощо. До цієї групи за змістом дій належать: ненавмисні, викликані помилковими чи ненавмисними діями людини (це, наприклад, може бути помилковий запуск програми, ненавмисне інсталяція закладок тощо); навмисні (інспіровані), що стали результатом навмисних дій людей (наприклад: навмисне інсталяція програм, які передають інформацію на інші комп'ютери, навмисне введення вірусів тощо).

За ступенем гіпотетичної шкоди:

o загроза явні чи потенційні дії, які ускладнюють або унеможливлюють реалізацію національних інтересів в інформаційній сфері та створюють небезпеку для системи державного управління, життєзабезпечення її системостворюючих елементів;

o небезпека - безпосередня дестабілізація функціонування системи державного управління.

За повторюваністю вчинення:

o повторювані - такі загрози, які раніше вже мали місце;

o продовжувані - неодноразове здійснення загроз, що складається з ряду тотожних, які мають спільну мету.

За сферами походження:

o екзогенні - джерело дестабілізації системи лежить поза її межами;

o ендогенні - алгоритм дестабілізації системи перебуває у самій системі.

За ймовірністю реалізації:

o імовірні - такі загрози, які за виконання певного комплексу умов обов'язково відбудуться. Прикладом може слугувати оголошення атаки інформаційних ресурсів суб'єкта забезпечення національної безпеки, яке передує самій атаці;

o неможливі - такі загрози, які за виконання певного комплексу умов ніколи не відбудуться. Такі загрози зазвичай мають більше декларативний характер, не підкріплений реальною і, навіть, потенційною можливістю здійснити проголошені наміри, вони здебільшого мають залякуючий характер;

o випадкові - такі загрози, які за виконання певного комплексу умов кожного разу протікають по-різному. Загрози даного рівня доцільно аналізувати за допомогою методів дослідження операцій, зокрема теорії ймовірностей і теорії ігор, які вивчають закономірності у випадкових явищах.

За рівнем детермінізму:

o закономірні - такі загрози, які носять стійкий, повторюваний характер, що зумовлені об'єктивними умовами існування та розвитку системи інформаційної безпеки. Так, наприклад, будь-який суб'єкт ЗНБ буде піддаватись інформаційним атакам, якщо в ньому не функціонує, або функціонує не на належному рівні система забезпечення інформаційної безпеки;

o випадкові - такі загрози, які можуть або трапитися, або не трапитися. До таких загроз належать загрози хакерів дестабілізувати інформаційні системи суб'єктів ЗНБ, РНБОУ.

За значенням:

допустимі - такі загрози, які не можуть призвести до колапсу системи. Прикладом можуть слугувати віруси, які не пошкоджують програми шляхом їх знищення;

недопустимі - такі загрози, які: 1) можуть у разі їх реалізації призвести до колапсу і системної дестабілізації системи; 2) можуть призвести до змін, не сумісних із подальшим існуванням СНБ. Так, наприклад, вірус "і love you", спричинив пошкодження комп'ютерних систем у багатьох містах світу, і завдав загального збитку біля 100 мільйонів доларів США. За структурою впливу:

o системні - загрози, що впливають одразу на всі складові елементи суб'єкта ЗНБ. Цей вплив має відбуватись одночасно в декількох найбільш уразливих і важливих місцях. Для суб'єкта ЗНБ це може бути цілеспрямована дискредитація їхніх працівників через телебачення, радіомовлення, друковані засоби масової інформації, Інтернет. Яскравим прикладом була спроба системної дестабілізації у лютому 2003 року, коли Президент України Л. Кучма мав відвідати з офіційним візитом канцлера Німеччини Г.Шрьодера. Дещо нагадаємо події того часу. За тиждень до приїзду Президента України до міста, де мала відбутися зустріч посадовців прибуває майор Мельниченко і, як завжди, починає висвітлювати "нові факти", які розкривають "злочинний правлячий режим Л. Кучми". Одночасно з цим генерал СБУ офіцер безпеки посольства України в Німеччині відмовляється повернутися на Батьківщину, більш того, починає також давати умовно відверті коментарі із демонстрацією документів з обмеженим доступом німецькій радіохвилі. У цей же час в Інтернеті опозиційними силами також влаштовується нагнітання обстановки, яка дуже яскраво коментує події в Німеччині, при чому із такою обізнаністю і витонченістю, що все це видає дуже гарно сплановану виставу. Ці події відбуваються за межами України, у той час як всередині країни опозиція починає влаштовувати також демонстративні акти, щоб привернути увагу світової спільноти до внутрішніх подій суверенної держави. Таким чином, спланована інформаційна провокація велася на системному рівні, тобто впливу були піддані життєво важливі елементи системи безпеки країни. Однак з урахуванням вже існуючих напрацювань, а також того факту, що українська влада усвідомила власну уразливість з боку інформаційних агресорів, були розроблені та впроваджені адекватні заходи нейтралізації і проведені відповідні інформаційні операції, які врешті-решт принесли позитивний результат, імідж нашої країни не було спаплюжено, а зустріч голів високих посадових осіб України та Німеччини відбулася у запланованих параметрах;

o структурні - загрози, що впливають на окремі структури системи. Дані загрози є також небезпечними, водночас вони стосуються структури окремих органів державної влади або їх компонентів. Так, наприклад, під час порушень процедури виборів мера м. Мукачево весною 2004 року була дискредитована як місцева влада, тобто нижня ланка системи державного управління, так і Міністерство внутрішніх справ України, тобто середня ланка і важливий суб'єкт забезпечення національної безпеки країни;

* елементні - загрози, що впливають на окремі елементи структури системи. Дані загрози носять постійний характер і можуть бути небезпечними лише за умови неефективності або непроведення їх моніторингу. Так, наприклад, свого часу, наприкінці 60 років XX століття, коли в Італії діяли так звані "Червоні бригади", влада не приділяла достатньо уваги діям терористів, які спочатку погрожували, а згодом почали фізично ліквідовувати усіх суддів, які виносили звинувачувальні вироки терористам. Жертвою халатності та неадекватної оцінки інформаційної загрози став і тодішній прем'єр-міністр Італії Альдо Моро, якого було попереджено заздалегідь про напад, водночас влада не вжила відповідних заходів і його було викрадено, а згодом і вбито. Теж саме стосується подій із вчиненням актів тероризму 11 вересня 2001 року, про які американські спецелужби було попереджено заздалегідь, втім вони не сприйняли інформацію як достовірну.

(За характером реалізації:

o реальні - активізація алгоритмів дестабілізації є неминучою і не обмежена часовим інтервалом і просторовою дією;

o потенційні - активізація алгоритмів дестабілізації можлива за певних умов середовища функціонування органу державного управління;

o здійснені - такі загрози, які втілені у життя;

o уявні - псевдоактивізація алгоритмів дестабілізації, або ж активізація таких алгоритмів, що за деякими ознаками схожі з алгоритмами дестабілізації, але такими не є.

За ставленням до них:

o об'єктивні - такі загрози, які підтверджуються сукупністю обставин і фактів, що об'єктивно характеризують навколишнє середовище. При цьому ставлення до них суб'єкта управління не відіграє вирішальної ролі через те, що об'єктивні загрози існують незалежно від волі та свідомості суб'єкта. Так, прикладом, хоча український законодавець у Законі України "Про основи національної безпеки України" не визначив пріоритетність захисту від інформаційних загроз, відвівши їм найменшу увагу, насправді їх значення є непересічним, і акцентування уваги на інших загрозах призводить постійно до разючих помилок в сфері саме інформаційній;

o суб'єктивні - така сукупність чинників об'єктивної дійсності, яка вважається суб'єктом управління системою безпеки загрозою. За даного випадку визначальну роль у ідентифікації тих чи інших обставин та чинників відіграє воля суб'єкта управління, який і приймає безпосереднє рішення про надання статусу або ідентифікації тих чи інших подій в якості загроз безпеці. За об'єктом впливу:

o На державу;

o На людину;

o На суспільство.

За формами закріплення:

нормативні - офіційно усвідомлені і визнані як такі в нормативних актах країни. В Україні, наприклад, дані загрози визначені в Законі України "Про основи національної безпеки України" Росії - у "Доктрині інформаційної безпеки";

ненормативні - існують об'єктивно, але не є усвідомленими вищим політичним керівництвом держави і не знайшли адекватного віддзеркалення у нормативній системі держави.

У даній класифікації ми намагалися продемонструвати багатоманітність і неоднаковість, багатошаровість і певну нескінченість загроз та небезпек інформаційній безпеці, які є адекватними часу і простору, темпам розвитку суспільства.