Основные понятия теории информационной безопасности
Методы и средства защиты информации в каждую историческую эпоху тесно связаны с уровнем развития науки и техники. Категории защищаемой информации определялись экономическими, политическими и военными интересами государства.
Элементы защиты информации использовались с древнейших времён: известно, что тайнопись применяли ещё в Древнем Египте и Древнем Риме. По свидетельству Геродота, уже в V в. до н. э. применялось кодирование информации. Классическим примером одного из первых применений криптографии является так называемый «шифр Цезаря».
На современном этапе развития общества информация выступает как форма собственности, и, следовательно, имеет определенную ценность. Чтобы подчеркнуть роль информации в обществе, говорят об «информационном обществе», в отличие от предыдущей фазы развития общества — «индустриальном обществе».
Начиная с 90‑х гг. ХХ в. исследованиями в области информационной безопасности активно занимаются российские ученые.
Большой вклад в исследование теоретических основ информационной безопасности внесли представители Санкт-Петербургской научной школы во главе с П. Д. Зегждой. Ими разработана таксонометрия брешей и изъянов в системах защиты компьютерных систем, представлен ряд технических решений по созданию защищенных компьютерных систем, в частности, организационно-иерархическая система разграничения доступа.
Представителями школы Института криптографии, связи и информатики (ИКСИ) Академии ФСБ России во главе с Б. А. Погореловым (П. Н. Девянин, Д. И. Правиков, А. Ю. Щербаков, С. Н. Смирнов, Г. В. Фоменков и др.) были проведены исследования в области криптографической защиты информации, а также подготовлена целая серия учебных изданий, что позволило сформировать методическую базу подготовки специалистов в сфере информационной безопасности.
При рассмотрении вопросов информационной безопасности в настоящее время можно выделить два подхода:
Неформальный, или описательный. При этом комплекс вопросов построения защищённых систем делится на основные направления, соответствующие угрозам, разрабатывается комплекс мер и механизмов защиты по каждому направлению.
Формальный. Основан на понятии политики безопасности и определении способов гарантирования выполнения её положений.
Как естественно-научная дисциплина теория информационной безопасности развивается в направлении формализации и математизации основных положений, выработки комплексных подходов к решению задач защиты информации.
Теория информационной безопасности постоянно развивается т. к. в связи с развитием технологий обработки и передачи информации постоянно возникают новые задачи по обеспечению информационной безопасности.
Необходимо отметить, что в настоящее время это одна из самых развивающихся естественных наук. Постоянно появляют-ся новые перспективные направления исследований, а уже имеющиеся получают еще более глубокую научную проработку.
К числу перспективных направлений следует отнести следующие:
- Формализация положений теории информационной безопасности;
- Разработка моделей безопасности, более точно отражающих существующий уровень развития компьютерной техники и информационных технологий и более удобных для практического использования и анализа защищенности реальных АС;
- Разработка средств и методов противодействия угрозам информационной войны;
- Вопросы обеспечения безопасности в глобальных информационных сетях, например Internet;
- Безопасность систем электронной коммерции;
- Вопросы безопасности обработки информации мобильными пользователями.
Особую роль в развитии теории информационной безопасности как науки и отрасли промышленности играют так называемые центры информационной безопасности. К ним относятся государственные, общественные и коммерческие организации, а также неформальные объединения, основные направления деятельности которых — координация усилий, направленных на актуализацию проблем защиты информации, проведение теоретических исследований и разработка конкретных практических решений в области безопасности, аналитическая деятельность и прогнозирование.
В Российской Федерации известными центрами информационной безопасности являются такие учреждения, как Федеральная служба технического и экспортного контроля (ФСТЭК), Институт криптографии, связи и информатики Академии федеральной службы безопасности (ИКСИ) и Академия криптографии Российской Федерации (АК РФ).
Предметная область теории информационной безопасности
Теория информационной безопасности наука сравнительно молодая. Свое развитие она получила в связи с бурным развитием информационных технологий, радиоэлектроники и связи и необходимостью сохранения информационных ресурсов. Как и любая другая наука, информационная безопасность имеет свой понятийный аппарат, который способен наиболее точно охарактеризовать все аспекты защиты информации. Многие понятия по своему содержанию соответствуют зарубежным аналогам. В то же время некоторые термины не являются устоявшимися и не всегда точно и полно характеризуют какой-либо процесс, свойство или предмет.
Предметной областью информационной безопасности являются:
- информация и ее свойства;
- угрозы безопасности информации и ее собственникам;
- политика безопасности и модели безопасности;
- способы, методы и средства защиты информации;
- классификация систем защиты;
- требования к защищенности информационных систем;
- методология оценки защищенности информационных систем и проектирования защиты.
- конкретные системы защиты информации, применяемые в различных органах управления, учреждениях и на предприятиях различных форм собственности.
Первый документ, устанавливающий основные термины и определения в области защиты информации в России был издан в 1992 году Гостехкомиссией РФ под названием «Термины и определения в области защиты от НСД к информации. Руководящий документ Гостехкомиссии России». В 1996 году основные термины и определения были стандартизированы Госстандартом. Выпущен ГОСТ Р 50922–96 Защита информации. Основные термины и определения.
Систематизация понятий в области защиты информации
Базовыми в теории защиты информации являются термины: «информационная безопасность», «безопасность информации», «защита информации». Их сущность определяет в конечном итоге политику и деятельность в области защиты информации.
Информационная безопасность — состояние защищенности информационных ресурсов (информационной среды) от внутренних и внешних угроз, способных нанести ущерб интересам личности, общества, государства (национальным интересам).
Безопасность информации — защищенность информации от нежелательного (для соответствующих субъектов информационных отношений) ее разглашения (нарушения конфиденциальности), искажения (нарушения целостности), утраты или снижения степени доступности информации, а также незаконного ее тиражирования.
Из определений «информационная безопасность» и «безопасность информации» вытекает, что защита информации направлена на обеспечение безопасности информации, безопасность информации обеспечивается с помощью ее защиты.
Нарушение безопасности информации в конечном итоге наносит ущерб ее собственнику. Поэтому для того чтобы установить, что защищать, в чьих интересах защищать, как и чем защищать, введена система понятий в области защиты информации, включающая в себя:
- понятия, связанные с определением информации, ее правового режима, правами собственности и доступа к защищаемой информации (правовые понятия в области информационных отношений);
- понятия, связанные непосредственно с предметной областью защиты информации.
Понятия первой группы используются в правовых документах, понятия второй — в нормативных.
Основные правовые документы:
- Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.06 № 149‑ФЗ;
- Федеральный закон «О государственной тайне» от 21.09.93 № 182;
- «Гражданский кодекс Российской Федерации (часть четвертая)» от 18.12.2006 № 230‑ФЗ. Глава 70. Авторское право;
- Стратегия национальной безопасности Российской Федерации. Утверждена Указом Президента Российской Федерации от 31 декабря 2015 г. N 683;
- Cтpaтeгия paзвития инфopмaциoннoгo oбщecтвa в Poccийcкoй Фeдepaции нa 2017–2030 гг. Утверждена Укaзом Пpeзидeнтa Poccийcкoй Фeдepaции oт 09.05.2017 № 203.
Основные нормативные документы:
- ГОСТ Р 50922–96. Защита информации. Основные термины и определения.
- ГОСТ Р 50.1.053–2005 — Информационные технологии. Основные термины и определения в области технической защиты информации.
- ГОСТ Р ИСО/МЭК 15408–1–2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.
- ГОСТ Р ИСО/МЭК 15408–2–2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.
- ГОСТ Р ИСО/МЭК 15408–3–2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.
- ГОСТ Р ИСО/МЭК 15408 — Общие критерии оценки безопасности информационных технологий.
- ГОСТ Р ИСО/МЭК 27002 — Информационные технологии. Практические правила управления информационной безопасностью.
- ГОСТ Р ИСО/МЭК 27001 — Информационные технологии. Методы безопасности. Система управления безопасностью информации. Требования.
- Руководящие документы Гостехкомиссии России.
Основные термины и определения правовых понятий в области информационных отношений и защиты информации
Основные термины и определения правовых понятий в изучаемой области установлены в Федеральном законе «Об информации, информационных технологиях и о защите информации». В нем сформулировано понятие информации и информационных технологий, определены субъекты информационных отношений и защиты.
Информация — сведения (сообщения, данные) независимо от формы их представления.
Информационные технологии — процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов.
Информационная система — совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств. В соответствии с ГОСТ 33707–2016 (ISO/IEC 2382:2015) Информационные технологии. Словарь, информационная система — это система, предназначенная для хранения, поиска и обработки информации, и соответствующие организационные ресурсы (человеческие, технические, финансовые и т. д.), которые обеспечивают и распространяют информацию.
Информационно-телекоммуникационная сеть — технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники.
Обладатель информации — лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам.
Также к правовым понятиям следует отнести понятие прав доступа к защищаемой информации. Ограничения доступа устанавливаются к сведениям, составляющим государственную тайну и иные виды тайны. В качестве собственников информации рассматриваются государство, организации и граждане (юридические и физические лица).
Доступ к информации — возможность получения информации и ее использования.
Предоставление информации — действия, направленные на получение информации определенным кругом лиц или передачу информации определенному кругу лиц.
Распространение информации — действия, направленные на получение информации неопределенным кругом лиц или передачу информации неопределенному кругу лиц.
Понятия предметной области «Защита информации»
Основные понятия предметной области «Защита информации» установлены стандартом ГОСТ Р 50922–96, а также в Руководящих документах Гостехкомиссии России.
Условно вся предметная область может быть разделена на две подгруппы. Первая — это основные понятия в области защиты информации. Вторая подгруппа — это понятия, связанные с организацией защиты информации.
Основные понятия в области защиты информации (термины и определения)
Защищаемая информация — информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.
Собственником информации может быть: государство, юридическое лицо, группа физических лиц, отдельное физическое лицо.
Защита информации — принятие правовых, организационных и технических мер, направленных:
1) на обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
Защита информации от утечки — деятельность, направленная на предотвращение неконтролируемого распространения защищаемой информации в результате ее разглашения, несанкционированного доступа к информации и получения защищаемой информации разведками.
Защита информации от несанкционированного воздействия — деятельность, направленная на предотвращение воздействия на защищаемую информацию с нарушением установленных прав и (или) правил на изменение информации, приводящего к ее искажению, уничтожению, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.
Защита информации от непреднамеренного воздействия — деятельность, направленная на предотвращение воздействия на защищаемую информацию ошибок ее пользователя, сбоя технических и программных средств информационных систем, природных явлений или иных нецеленаправленных на изменение информации мероприятий, приводящих к искажению, уничтожению, копированию, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.
Защита информации от разглашения — деятельность, направленная на предотвращение несанкционированного доведения защищаемой информации до потребителей, не имеющих права доступа к этой информации.
Защита информации от несанкционированного доступа — деятельность, направленная на предотвращение получения защищаемой информации заинтересованным субъектом с нарушением установленных правовыми документами или собственником, владельцем информации прав или правил доступа к защищаемой информации.
Заинтересованным субъектом, осуществляющим несанкционированный доступ к защищаемой информации, может быть: государство; юридическое лицо; группа физических лиц, в том числе общественная организация; отдельное физическое лицо.
Защита информации от разведки — деятельность, направленная на предотвращение получения защищаемой информации разведкой.
Примечание. Получение защищаемой информации может быть осуществлено как иностранной, так и отечественной разведкой.
Защита информации от технической разведки — деятельность, направленная на предотвращение получения защищаемой информации разведкой с помощью технических средств.
Защита информации от агентурной разведки — деятельность, направленная на предотвращение получения защищаемой информации агентурной разведкой.
Цель защиты информации — заранее намеченный результат защиты информации. Целью защиты информации может быть предотвращение ущерба собственнику, владельцу, пользователю информации в результате возможной утечки информации и (или) несанкционированного и непреднамеренного воздействия на информацию.
Замысел защиты информации — основная идея, раскрывающая состав, содержание, взаимосвязь и последовательность осуществления технических и организационных мероприятий, необходимых для достижения цели защиты информации.
Эффективность защиты информации — степень соответствия результатов защиты информации поставленной цели.
Показатель эффективности защиты информации — мера или характеристика для оценки эффективности защиты информации.
Нормы эффективности защиты информации — значения показателей эффективности защиты информации, установленные нормативными документами.
Понятия, связанные с организацией защиты информации
Организация защиты информации — содержание и порядок действий, направленных на обеспечение защиты информации.
Система защиты информации — совокупность органов и (или) исполнителей, используемой ими техники защиты информации, а также объектов защиты, организованная и функционирующая по правилам, установленным соответствующими правовыми, организационно-распорядительными и нормативными документами в области защиты информации.
Мероприятие по защите информации — совокупность действий, направленных на разработку и (или) практическое применение способов и средств защиты информации.
Мероприятие по контролю эффективности защиты информации — совокупность действий, направленных на разработку и (или) практическое применение способов и средств контроля эффективности защиты информации.
Техника защиты информации — средства защиты информации, средства контроля эффективности защиты информации, средства и системы управления, предназначенные для обеспечения защиты информации.
Объект защиты информации — информация или носитель информации, или информационный процесс, которые необходимо защищать в соответствии с поставленной целью защиты информации.
Способ защиты информации — порядок и правила применения определенных принципов и средств защиты информации.
Категорирование защищаемой информации (объекта защиты) — установление градации важности защищаемой информации (объекта защиты).
Контроль состояния защиты информации — проверка соответствия организации и эффективности защиты информации установленным требованиям и (или) нормам зашиты информации.
Все рассмотренные понятия являются общеметодологическими и применимы в целом для теории информационной безопасности.
Основные понятия, связанные с защитой информации в информационных системах, определены также в Руководящем документе Гостехкомиссии «Термины и определения в области защиты от НСД к информации».
Установленные термины обязательны для применения во всех видах документации. Для каждого понятия установлен один термин. Применение его синонимов не допускается.
Основные принципы построения систем защиты
Для защиты информации в информационных системах могут быть сформулированы следующие принципы:
1. Законность и обоснованность защиты.
Принцип законности и обоснованности предусматривает то, что защищаемая информация по своему правовому статусу относится к информации, которой требуется защита в соответствии с законодательством.
2. Системность.
Системный подход к защите информационной системы предполагает необходимость учета всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов:
- при всех видах информационной деятельности и информационного проявления;
- во всех структурных элементах;
- при всех режимах функционирования;
- на всех этапах жизненного цикла;
- с учетом взаимодействия объекта защиты с внешней средой.
При обеспечении безопасности информационной системы необходимо учитывать все слабые, наиболее уязвимые места системы обработки информации, а также характер, возможные объекты и направления атак на систему со стороны нарушителей (особенно высококвалифицированных злоумышленников), пути проникновения в распределенные системы и пути несанкционированного доступа к информации. Система защиты должна строиться не только с учетом всех известных каналов проникновения, но и с учетом возможности появления принципиально новых путей реализации угроз безопасности.
3. Комплексность.
Комплексное использование предполагает согласование разнородных средств при построении целостной системы защиты, перекрывающей все существенные каналы реализации угроз и не содержащей слабых мест на стыках отдельных ее компонентов.
4. Непрерывность защиты.
Защита информации — это непрерывный целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла информационной системы, начиная с самых ранних стадий проектирования. Разработка системы защиты должна вестись параллельно с разработкой самой защищаемой системы.
5. Разумная достаточность.
Создать абсолютно непреодолимую систему защиты принципиально невозможно: при достаточных времени и средствах можно преодолеть любую защиту. Следовательно, возможно достижение лишь некоторого приемлемого уровня безопасности. Высокоэффективная система защиты требует больших ре-__сурсов (финансовых, материальных, вычислительных, временных) и может создавать ощутимые дополнительные неудобства пользователям. Важно правильно выбрать тот достаточный уровень зашиты, при котором затраты, риск и размер возможного ущерба были бы приемлемыми (задача анализа риска).
6. Гибкость.
Внешние условия и требования с течением времени меняются. Принятые меры и установленные средства защиты могут обеспечивать как чрезмерный, так и недостаточный уровень защиты. Для обеспечения возможности варьирования уровня защищенности средства защиты должны обладать определенной гибкостью.
7. Открытость алгоритмов и механизмов защиты.
Суть принципа открытости механизмов и алгоритмов защиты состоит в том, что знание алгоритмов работы системы защиты не должно давать возможности ее преодоления даже разработчику защиты. Однако это вовсе не означает, что информация о конкретной системе защиты должна быть общедоступна, необходимо обеспечивать защиту от угрозы раскрытия параметров системы.
8. Простота применения средств защиты.
Механизмы защиты должны быть интуитивно понятны и просты в использовании. Применение средств защиты не должно быть связано с выполнением действий, требующих значительных дополнительных трудозатрат при обычной работе законных пользователей, а также не должно требовать от пользователя выполнения малопонятных ему операций.
Концепция комплексной защиты информации
Эффективное обеспечение защиты информации возможно только на основе комплексного использования всех известных методов и подходов к решению данной проблемы. К концепции комплексной защиты предъявляется ряд требований:
1. Разработка и доведение до уровня регулярного использования всех необходимых механизмов гарантированного обеспечения требуемого уровня защищенности информации;
2. Существование механизмов практической реализации требуемого уровня защищенности;
3. Наличие средств рациональной реализации всех необходимых мероприятий по защите информации на базе достигнутого уровня развития науки и техники;
4. Разработка способов оптимальной организации и обеспечения проведения всех мероприятий по защите в процессе обработки информации.
В целях построения концепции, удовлетворяющей всей совокупности требований, в последнее время активно разрабатывается теория защиты информации, включающая понятия задачи защиты, средств защиты, системы защиты.
Функция защиты — совокупность однородных в функциональном отношении мероприятий, регулярно осуществляемых в информационной системе различными средствами и методами в целях создания, поддержания и обеспечения условий, объективно необходимых для надежной защиты информации.
Полное множество функций защиты:
- предупреждение возникновения условий, благоприятствующих появлению дестабилизирующих факторов;
- предупреждение непосредственного проявления дестабилизирующих факторов;
- обнаружение проявившихся дестабилизирующих факторов;
- предупреждение воздействия на защищаемую информацию проявившихся дестабилизирующих факторов;
- обнаружение воздействия дестабилизирующих факторов;
- локализация воздействия дестабилизирующих факторов;
- ликвидация последствий локализованного воздействия дестабилизирующих факторов.
Полнота множества функций защиты имеет значение для оптимизации систем защиты информации. Осуществление функций защиты связано с расходованием ресурсов. Обозначим количество ресурсов (например, стоимость), расходуемых на осуществление i‑го мероприятия по защите, как Ci. Вероятность успешного осуществления этого мероприятия Pi зависит от затраченных ресурсов
Pi = Pi (Ci).
Если требуется обеспечить определенный уровень (вероятность) защищенности информации Рз0, то следует выбирать такие мероприятия, которые обеспечат уровень защищенности не менее заданного:
Рз > Рз0.
С учетом этого задачу защиты информации можно сформулировать как оптимизационную: определить перечень мероприятий, при которых заданный уровень защиты обеспечивается при минимальных затратах. Возможна и другая постановка: достичь максимально возможного уровня защищенности информации при определенном уровне затрат на защиту.
Осуществление функций защиты достигается решением задач защиты.
Задачи защиты информации
Все задачи, необходимые для осуществления функций обеспечения защиты, могут быть объединены в классы:
- введение избыточности элементов системы;
- резервирование элементов системы;
- регулирование доступа к элементам системы;
- регулирование использования элементов системы;
- маскировка информации;
- контроль элементов системы;
- регистрация сведений;
- уничтожение информации;
- сигнализация;
- реагирование.
До сих пор не решена проблема оценки эффективности реализации функций защиты путем решения определенной задачи защиты.
Средства реализации комплексной защиты информации
Рассмотрим основные средства, используемые для создания механизмов защиты.
Все средства защиты делятся на формальные (выполняющие защитные функции строго по заранее предусмотренной процедуре без непосредственного участия человека) и неформальные (определяются целенаправленной деятельностью человека либо регламентируют эту деятельность).
Технические средства реализуются в виде электрических, электромеханических и электронных устройств. Вся совокупность технических средств делится на аппаратные и физические.
Под аппаратными техническими средствами принято понимать устройства, встраиваемые непосредственно в телекоммуникационную аппаратуру, или устройства, которые сопрягаются с подобной аппаратурой по стандартному интерфейсу. Из наиболее известных аппаратных средств можно отметитьсхемы контроля информации по четности, схемы защиты полей памяти — по ключу и т. п.
Физические средства реализуются в виде автономных устройств и систем. Это могут быть, например замки на дверях помещений, где размещена аппаратура, решетки на окнах, электронно-механическое оборудование охранной сигнализации.
Программные средства представляют собой программное обеспечение, специально предназначенное для выполнения функций защиты информации.
Указанные выше средства и составляли основу механизмов защиты на первой фазе развития технологии обеспечения безопасности связи в каналах телекоммуникаций. При этом считалось, что основными средствами защиты являются программные. Первоначально программные механизмы защиты включались, как правило, в состав ОС, управляющих ЭВМ, или систем управления базами данных. Практика показала, что надежность подобных механизмов защиты является явно недостаточной. Особенно слабым звеном оказалась защита по паролю. Поэтому в дальнейшем механизмы защиты становились все более сложными, с привлечением других средств обеспечения безопасности.
Организационные средства защиты представляют собой организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации аппаратуры телекоммуникаций для обеспечения защиты информации. Организационные мероприятия охватывают все структурные элементы системы на всех этапах их жизненного цикла (строительство помещений, проектирование системы, монтаж и наладка оборудования, испытания и эксплуатация).
Законодательные средства защиты определяются законодательными актами страны, которыми регламентируются правила использования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.
Морально-этические средства защиты реализуются в виде всевозможных норм, которые сложились традиционно или складываются по мере распространения вычислительной техники и средств связи в данной стране или обществе. Эти нормы большей частью не являются обязательными, как законодательные меры, однако несоблюдение их ведет обычно к потере авторитета и престижа человека.
Итак, информационная безопасность является важной составляющей национальной безопасности России. Политика государства в этой сфере деятельности направлена в первую очередь на организацию защиты государственной тайны и развитие правовых основ защиты информации. Правовая защита информации выступает как один из наиболее важных способов и методов защиты информации.
Выводы
Знание основ теории информационной безопасности будет способствовать компетентному решению практических вопросов защиты информации, явится основой для профессиональной деятельности специалиста по информационной безопасности;
Проблема защиты информации формулировалась по-разному в разные исторические эпохи и связана политикой, экономикой, технологиями.
Проблема защиты информации в автоматизированных (информационных) системах была сформулирована в середине 70‑х годов ХХ века и с тех пор претерпела существенные изменения, связанные с уровнем развития систем;
Перспективным является путь комплексного обеспечения информационной безопасности, сочетающий формальный и неформальный подход к решению проблемы;
Однозначное определение базовых понятий в области информационной безопасности необходимо в интересах как производителей, так и потребителей информационных систем, а также для полного и непротиворечивого описания процесса защиты информации.