Securitatea informațiilor

Versiunea actuală a paginii nu a fost încă examinată de colaboratori experimentați și poate diferi semnificativ de versiunea revizuită la 19 septembrie 2022; verificarea necesită 1 editare .

Securitatea informațiilor ( în engleză  Information Security și, de asemenea, în engleză  InfoSec ) este practica de a preveni accesul neautorizat , utilizarea, dezvăluirea, denaturarea, modificarea, cercetarea, înregistrarea sau distrugerea informațiilor . Acest concept universal se aplică indiferent de forma pe care o pot lua datele (electronică sau, de exemplu, fizică). Sarcina principală a securității informațiilor este protecția echilibrată a confidențialității , integrității și disponibilității datelor [1] , ținând cont de caracterul adecvat al aplicației și fără nicio prejudiciu asupra productivității organizației [2] . Acest lucru se realizează în primul rând printr-un proces de management al riscului în mai multe etape, care identifică activele fixe și activele necorporale , sursele de amenințări , vulnerabilitățile , impacturile potențiale și oportunitățile de gestionare a riscurilor. Acest proces este însoțit de o evaluare a eficacității planului de management al riscurilor [3] .

În vederea standardizării acestei activități, comunitățile științifice și profesionale cooperează permanent în scopul dezvoltării unei metodologii de bază, politici și standarde industriale în domeniul măsurilor tehnice de securitate a informațiilor, al răspunderii juridice, precum și al standardelor de pregătire a utilizatorilor și administratorilor . Această standardizare este în mare măsură determinată de o gamă largă de legi și reglementări care reglementează modul în care datele sunt accesate, procesate, stocate și transmise. Cu toate acestea, implementarea oricăror standarde și metodologii într-o organizație poate avea doar un efect superficial dacă cultura îmbunătățirii continue nu este insuflată corespunzător [4] .

Informații generale

La baza securității informațiilor se află activitatea de protejare a informațiilor - asigurarea confidențialității, disponibilității și integrității acestora, precum și prevenirea oricărui compromis într-o situație critică [5] . Astfel de situații includ dezastre naturale, provocate de om și sociale , defecțiuni ale computerului, răpiri fizice și fenomene similare. În timp ce evidența majorității organizațiilor din lume se bazează încă pe documente pe hârtie [6] , care necesită măsuri adecvate de securitate a informațiilor, a existat o creștere constantă a numărului de inițiative de introducere a tehnologiilor digitale în întreprinderi [7] [8] , care presupune implicarea profesioniștilor în domeniul securității în tehnologia informației (IT) pentru a proteja informațiile. Acești specialiști oferă tehnologie de securitate a informațiilor (în cele mai multe cazuri - un fel de sisteme informatice ). Un computer în acest context înseamnă nu doar un computer personal de uz casnic , ci dispozitive digitale de orice complexitate și scop, variind de la cele primitive și izolate, cum ar fi calculatoare electronice și aparate de uz casnic, până la sisteme de control industrial și supercalculatoare unite prin rețele de calculatoare . Cele mai mari întreprinderi și organizații, datorită importanței vitale și valorii informațiilor pentru afacerea lor, angajează specialiști în securitatea informațiilor, de regulă, pentru personalul lor. Sarcina lor este să securizeze toate tehnologiile împotriva atacurilor cibernetice rău intenționate , care au ca scop adesea furtul de informații confidențiale sensibile sau preluarea controlului asupra sistemelor interne ale unei organizații.

Securitatea informației, ca domeniu de angajare , s-a dezvoltat și a crescut semnificativ în ultimii ani. A dat naștere multor specializări profesionale, cum ar fi securitatea rețelelor și a infrastructurii aferente, protecția software-ului și a bazelor de date , auditarea sistemelor informatice , planificarea continuității afacerii , detectarea înregistrărilor electronice și criminalistica informatică . Profesioniștii în securitatea informațiilor au un loc de muncă foarte stabil și o cerere mare pe piața muncii. Cercetările la scară largă efectuate de organizație (ISC)² au arătat că în 2017, 66% dintre liderii în securitatea informațiilor au recunoscut o lipsă acută de forță de muncă în departamentele lor, iar conform previziunilor, până în 2022, deficitul de specialiști în acest domeniu va fi 1.800.000 de oameni în întreaga lume [9 ] .

Amenințări și contramăsuri

Amenințările la securitatea informațiilor pot lua o mare varietate de forme. Pentru 2018, cele mai grave sunt amenințările asociate cu „ crima ca serviciu ” ( ing.  Crime-as-a-Service ), internetul obiectelor , lanțurile de aprovizionare și complicarea cerințelor de reglementare [10] . Crime as a Service este un model pentru comunitățile criminale mature pentru a oferi pachete de servicii criminale pe piața darknetului la prețuri accesibile infractorilor cibernetici în curs de dezvoltare [K 1] . Acest lucru îi permite celor din urmă să facă atacuri de hackeri care anterior erau inaccesibile din cauza complexității tehnice ridicate sau a costurilor ridicate, făcând criminalitatea cibernetică un fenomen de masă [12] . Organizațiile implementează în mod activ Internetul lucrurilor, dispozitivele care sunt adesea proiectate fără cerințe de securitate, ceea ce deschide oportunități suplimentare pentru atac. În plus, dezvoltarea rapidă și complexitatea Internetului lucrurilor îi reduce transparența, care, combinată cu reguli și condiții legale vag definite, permite organizațiilor să folosească datele personale ale clienților lor colectate de dispozitive la propria lor discreție, fără știrea lor. În plus, este problematic pentru organizațiile înseși să urmărească care dintre datele colectate de dispozitivele IoT sunt transmise în exterior. Amenințarea pentru lanțurile de aprovizionare este că organizațiile tind să partajeze o varietate de informații valoroase și sensibile cu furnizorii lor , ceea ce duce la pierderea controlului direct asupra acestora. Astfel, riscul încălcării confidențialității, integrității sau disponibilității acestor informații este semnificativ crescut. Din ce în ce mai multe cerințe noi ale autorităților de reglementare complică semnificativ gestionarea activelor informaționale vitale ale organizațiilor. De exemplu, Regulamentul general privind protecția datelor (GDPR ) , adoptat în Uniunea Europeană în 2018 , solicită oricărei organizații, în orice moment, în orice parte a propriei activități sau a lanțului său de aprovizionare, să demonstreze ce date cu caracter personal și pentru ce obiective sunt disponibile acolo, cum sunt procesate, stocate și protejate. Mai mult, aceste informații trebuie furnizate nu numai în timpul controalelor efectuate de organismele abilitate, ci și la prima solicitare a unei persoane private - proprietarul acestor date. Conformitatea cu o astfel de conformitate necesită deturnarea unor fonduri și resurse bugetare semnificative de la alte sarcini de securitate a informațiilor ale organizației. Și deși eficientizarea prelucrării datelor cu caracter personal presupune o îmbunătățire a securității informațiilor pe termen lung, pe termen scurt, riscurile organizației cresc semnificativ [10] .  

Majoritatea oamenilor sunt expuși amenințărilor la securitatea informațiilor într-un fel sau altul. De exemplu, aceștia devin victime ale programelor malware ( viruși și viermi , troieni , ransomware ) [13] , phishing sau furt de identitate . Phishing ( eng.  Phishing ) este o încercare frauduloasă [K 2] de a intra în posesia informațiilor confidențiale (de exemplu, un cont , o parolă sau informații despre cardul de credit ). De obicei, ei încearcă să atragă utilizatorul de internet către un site web fraudulos care nu se poate distinge de site-ul original al oricărei organizații ( bancă , magazin online , rețea socială etc.) [14] [15] . De regulă, astfel de încercări sunt făcute cu ajutorul mailing-urilor în masă de e-mailuri false aparent în numele organizației însăși [16] , care conțin link -uri către site-uri frauduloase. Prin deschiderea unui astfel de link într-un browser , un utilizator nebănuit își introduce acreditările, care devin proprietatea escrocilor [17] . Termenul de furt de identitate din  engleză.  —  „furtul de identitate” a apărut în engleză în 1964 [18] pentru a se referi la activități în care datele personale ale cuiva (de exemplu, numele, contul bancar sau numărul cardului de credit, obținute adesea prin phishing) sunt folosite pentru fraudă și comiterea altor infracțiuni [19]. ] [20] . Cel în numele căruia infractorii primesc avantaje financiare ilegale, împrumuturi sau comit alte infracțiuni, devine de multe ori însuși inculpat, ceea ce poate avea consecințe financiare și juridice grave de amploare pentru el [21] . Securitatea informațiilor are un impact direct asupra vieții private [22] , a cărei definiție poate fi foarte diferită în diferite culturi [23] .

Guvernele , armata , corporațiile , instituțiile financiare , instituțiile medicale și întreprinderile private acumulează în mod constant cantități semnificative de informații confidențiale despre angajații, clienții, produsele, cercetările și rezultatele financiare ale acestora . Dacă astfel de informații ajung în mâinile concurenților sau infractorilor cibernetici, acestea pot duce la consecințe juridice de amploare pentru organizație și clienții săi, precum și pierderi financiare și reputaționale ireparabile. Din perspectiva afacerii, securitatea informațiilor trebuie echilibrată cu costurile; modelul economic Gordon-Lob descrie aparatul matematic pentru rezolvarea acestei probleme [24] . Principalele modalități de a contracara amenințările la securitatea informațiilor sau riscurile informaționale sunt:

Istorie

Odată cu apariția celor mai timpurii mijloace de comunicare, diplomații și liderii militari și-au dat seama de necesitatea dezvoltării unor mecanisme de protejare a corespondenței confidențiale și a modalităților de a detecta încercările de a o falsifica . De exemplu, Iulius Caesar este creditat cu invenția în jurul anului 50 î.Hr. e. cifrul Caesar , care avea scopul de a împiedica mesajele sale secrete să fie citite de către cei cărora nu erau destinate [26] . Deși, în cea mai mare parte, protecția a fost asigurată prin controlul asupra procedurii de gestionare a corespondenței secrete. Mesajele confidențiale au fost marcate pentru a fi protejate și transmise numai cu persoane de încredere aflate sub protecție, depozitate în încăperi securizate sau cutii solide [27] .

Odată cu dezvoltarea corespondenței , au început să apară organizații guvernamentale care să intercepteze, să decripteze, să citească și să resigile scrisori. Deci, în Anglia pentru aceste scopuri în 1653 a existat un Birou Secret ( Biroul Secret ing .  ) [28] . În Rusia, citirea a fost efectuată cel puțin de pe vremea lui Petru I  - din 1690, toate scrisorile trimise în străinătate au fost deschise la Smolensk . Practica copierii în secret a corespondenței aproape tuturor diplomaților străini pentru ca destinatarul să nu aibă suspiciuni a căpătat un caracter sistemic la mijlocul secolului al XVIII-lea - au apărut așa-numitele „oficii negre” [29] . După deschidere, a fost necesară efectuarea unei criptoanalize a mesajului, pentru care matematicieni cunoscuți ai timpului lor au fost implicați în activitățile cabinetelor negre. Cele mai remarcabile rezultate au fost obținute de Christian Goldbach , care a reușit să descifreze 61 de scrisori de la miniștri prusaci și francezi în șase luni de muncă. În unele cazuri, după decriptarea cu succes a scrisorii, conținutul acesteia a fost înlocuit - un fel de atac „ om la mijloc ” [30] .

La începutul secolului al XIX-lea în Rusia, odată cu venirea la putere a lui Alexandru I , toată activitatea criptografică a fost transferată la Oficiul Ministerului Afacerilor Externe . Din 1803, remarcabilul om de știință rus Pavel Lvovich Schilling a fost în serviciul acestui departament . Una dintre cele mai semnificative realizări ale Cancelariei a fost descifrarea ordinelor și corespondenței lui Napoleon I în timpul Războiului Patriotic din 1812 [31] [32] . La mijlocul secolului al XIX-lea, au apărut sisteme mai sofisticate de clasificare a informațiilor clasificate , permițând guvernelor să gestioneze informațiile în funcție de gradul său de confidențialitate. De exemplu, guvernul britanic a legitimat într-o oarecare măsură o astfel de clasificare în 1889 odată cu publicarea Actului Secretelor Oficiale [33] .

În timpul Primului Război Mondial, sistemele de clasificare și criptare stratificate au fost folosite pentru a transmite informații de către toate părțile în război, ceea ce a contribuit la apariția și utilizarea intensă a unităților de criptare și criptoanaliza. Astfel, până la sfârșitul anului 1914, s-a format una dintre secțiile Amiralității Britanice  - „ camera 40 ” -, care a devenit principala autoritate criptografică din Marea Britanie. Pe 26 august 1914, crucișătorul ușor german „ Magdeburg ” s-a așezat pe pietrele de lângă insula Odensholm , la gura Golfului Finlandei , care aparținea atunci Imperiului Rus. Germanii au distrus toate documentele și au aruncat în aer nava, dar scafandrii ruși, după ce au examinat fundul, au găsit două copii ale cărții de semnalizare, dintre care unul a fost predat britanicilor. După ce au primit în curând cărți de coduri pentru navele auxiliare, precum și pentru comunicarea între navele din mările exterioare și navele inamice însoțitoare, britanicii au reușit să descifreze codurile navale germane. Încălcarea codului a făcut posibilă citirea mesajelor radio inamice interceptate. De la sfârșitul lunii noiembrie 1914, „camera 40” a început să descifreze regulat radiogramele flotei germane, care transmitea aproape toate comenzile și ordinele [34] . Pentru prima dată, au încercat să folosească aceste decriptări în timpul ieșirii flotei germane pe coasta britanică pe 16 decembrie 1914 [35] .

În perioada interbelică , sistemele de criptare au devenit din ce în ce mai complicate, astfel că au început să fie folosite mașini speciale pentru criptarea și decriptarea mesajelor secrete , dintre care cea mai cunoscută este Enigma , creată de inginerii germani în anii 1920. Încă din 1932, Polish Intelligence Cipher Bureau a reușit să spargă cifrul Enigma prin inginerie inversă [36] .

Cantitatea de informații schimbate între țările coaliției anti-Hitler în timpul celui de -al Doilea Război Mondial a necesitat armonizarea formală a sistemelor naționale de clasificare și a procedurilor de control și management. S-a format un set de etichete de secretizare, accesibile doar inițiaților, care definesc cine se poate ocupa de documente (în general ofițeri mai degrabă decât înrolați) și unde ar trebui să fie depozitate, având în vedere apariția unor seifuri și seifuri din ce în ce mai complexe. Beligeranții au elaborat proceduri pentru distrugerea garantată a documentelor clasificate. Unele dintre încălcările unor astfel de proceduri au dus la cele mai semnificative câștiguri de informații ale întregului război. De exemplu, echipajul submarinului german U-570 nu a reușit să distrugă în mod corespunzător multe documente secrete pe care britanicii le-au capturat [37] . Un exemplu izbitor de utilizare a instrumentelor de securitate a informațiilor este Enigma menționată mai sus, a cărei versiune complicată a apărut în 1938 și a fost utilizată pe scară largă de către Wehrmacht și alte servicii ale Germaniei naziste . În Marea Britanie, criptoanaliza mesajelor adversare criptate cu Enigma a fost realizată cu succes de un grup condus de Alan Turing . Mașina de decriptare  „ Turing Bombe ”  dezvoltată de aceștia  a oferit o asistență semnificativă coaliției anti-Hitler și este uneori creditată cu un rol decisiv în victoria Aliaților [38] . În Statele Unite, pentru a cripta comunicațiile radio în teatrul de operațiuni din Pacific, au fost recrutați semnalizatori din tribul indienilor Navajo , a cărui limbă nu o cunoștea nimeni în afara Statelor Unite [39] . Japonezii nu au reușit niciodată să găsească cheia acestei metode exotice de protejare a informațiilor [40] . În URSS, încă din anii 1930, pentru a proteja convorbirile telefonice ale celor mai înalte autorități ale țării de interceptări (inclusiv Cartierul General al Înaltului Comandament Suprem ), a fost folosită așa-numita comunicare HF , bazată pe modularea vocii a semnalelor de înaltă frecvență. şi strângerea lor ulterioară . Cu toate acestea, lipsa protecției criptografice a făcut posibilă, folosind un spectrometru , recuperarea mesajelor din semnalul interceptat [41] .

A doua jumătate a secolului al XX-lea și începutul secolului al XXI-lea au fost marcate de dezvoltarea rapidă a telecomunicațiilor, hardware și software de calculator și criptarea datelor. Apariția echipamentelor de calcul compacte, puternice și ieftine a făcut ca procesarea electronică a datelor să fie accesibilă întreprinderilor mici și utilizatorilor casnici. Foarte repede, computerele au fost conectate la Internet , ceea ce a dus la creșterea explozivă a afacerilor electronice . Toate acestea, combinate cu creșterea criminalității cibernetice și cu numeroasele cazuri de terorism internațional , au creat nevoia de metode mai bune de protecție a computerelor și a informațiilor pe care acestea le stochează, procesează și transmit. Au apărut discipline științifice precum „ Securitatea computerelor ” și „Tehnici de securitate a informațiilor” [K 3] și multe organizații profesionale cu scopul comun de a asigura securitatea și fiabilitatea sistemelor informaționale [43] .

Definiții de bază

Informații protejate  - informații supuse protecției în conformitate cu cerințele actelor juridice de reglementare sau cerințele stabilite de proprietarul informațiilor [44] .

Proprietarul informațiilor  este o persoană care a creat în mod independent informații sau a primitdreptul de a permite sau restricționa accesul la informații determinate de orice semne pe baza unei legi sau a unui acord . Deținătorii de informații pot fi: statul , o persoană juridică , un grup de persoane fizice, o persoană fizică separată [44] .

Securitatea informației  este o astfel de stare a securității informațiilor, în care confidențialitatea , integritatea și disponibilitatea acesteia sunt asigurate [44] .

Organizarea securității informațiilor  - ansamblu de acțiuni care vizează identificarea amenințărilor la adresa securității informațiilor, planificarea, implementarea măsurilor de protecție a informațiilor și monitorizarea stării de protecție a informațiilor [44] .

Sistem de securitate a informațiilor  - un ansamblu de organisme și (sau) executanți, tehnologia de securitate a informațiilor pe care o utilizează, precum și obiectele de securitate a informațiilor, organizate și funcționale în conformitate cu cerințele de securitate a informațiilor [44] .

Politica de securitate a informațiilor a unei organizații este un set de politici, proceduri, practici sau linii directoare documentate de securitate a informațiilor pe care o organizație le urmează în operațiunile sale [44] .

„Securitatea informațiilor” în diverse surse

Următoarele sunt definiții ale termenului „securitate informațională” din diverse surse:

Principii cheie

În 1975, Jerry Salzer și Michael Schroeder , în articolul „Securitatea informațiilor în sistemele informatice” [53] , au propus mai întâi împărțirea încălcărilor de securitate în trei categorii principale: divulgarea neautorizată a informațiilor , modificarea neautorizată a informațiilor ( ing  . Modificarea neautorizată a informațiilor ) și refuzul neautorizat de acces ( de exemplu , refuzul neautorizat de utilizare ) la informații. Mai târziu, aceste categorii au primit nume scurte și definiții standardizate:   

C confidențialitatea din  limba engleză.  - „confidențialitate” - proprietatea informațiilor de a fi inaccesibile sau închisă persoanelor, entităților sau proceselor neautorizate [54] ; Integritate din engleză  .  - „integritate” - proprietatea de a menține corectitudinea și caracterul complet al activelor [55] ; O disponibilitate din  engleză.  - „disponibilitate” - proprietatea informațiilor de a fi disponibile și gata de utilizare la cererea unui subiect autorizat care are dreptul de a face acest lucru [54] .

În mod colectiv, aceste trei principii cheie de securitate a informațiilor sunt denumite triada CIA [56] .

În 1992, OCDE a publicat propriul model de securitate a informațiilor, constând din nouă principii: conștientizare , responsabilitate , rezistență , etică , democrație , evaluarea riscurilor , dezvoltarea și implementarea securității , managementul securității , revizuire [57] [K 4] . În 1996, pe baza unei publicații OCDE din 1992, Institutul Național American de Standarde și Tehnologie (NIST) a formulat opt ​​principii de bază care afirmă că securitatea computerelor „susține misiunea organizației”, „este o parte integrantă a managementului sănătos”, „ar trebui să fie rentabil”, „necesită o abordare cuprinzătoare și integrată”, „este limitat de factori sociali”, „ar trebui revizuit periodic”, „datoriile și responsabilitățile pentru securitatea computerelor ar trebui să fie clar articulate” și „proprietarii de sistem au o responsabilitate pentru securitate în afara organizaţiei lor” [59] . Pe baza acestui model, în 2004, NIST a publicat 33 de principii de proiectare a ingineriei de securitate a informațiilor, pentru fiecare dintre acestea fiind elaborate ghiduri practice și recomandări, care sunt dezvoltate și menținute în mod constant la zi [60] .

În 1998, Donn Parker a adăugat încă trei aspecte triadei clasice CIA : Posesie sau Control , Autenticitate și Utilitate 61 ] . Meritele acestui model, numit Parker hexad (din hexad în  engleză  –  „un grup de șase articole”), fac obiectul discuțiilor în rândul specialiștilor în securitatea informațiilor [62] .    

În 2009, Departamentul de Apărare al SUA a publicat „Trei principii fundamentale ale securității computerelor”: System Susceptibility , Access to the Flaw , and Capacity to Exploit the Flaw . [63] [64] [65] .    

În 2011, consorțiul internațional The Open Group a publicat standardul de management al securității informațiilor O-ISM3 , care a abandonat definiția conceptuală a componentelor triadei clasice CIA în favoarea definiției lor operaționale . Conform O-ISM3, pentru fiecare organizație este posibil să se identifice un set individual de obiective de securitate aferente uneia dintre cele cinci categorii care corespund uneia sau alteia componente a triadei: obiective de securitate prioritare (confidențialitate), obiective de securitate pe termen lung ( integritate), obiective de calitate a informațiilor (integritate), obiective de control al accesului (accesibilitate) și obiective de securitate tehnică . [66] .

Dintre toate modelele de securitate a informațiilor menționate mai sus, clasica triada CIA este încă cea mai recunoscută și răspândită în comunitatea profesională internațională [56] . Este fixat în standardele naționale [1] și internaționale [45] și este inclus în principalele programe educaționale și de certificare pentru securitatea informațiilor, precum CISSP [67] și CISM [68] . Unii autori ruși folosesc o hârtie de calc din aceasta - „ triada CCD ” [56] . În literatura de specialitate, toate cele trei componente ale sale: confidențialitate, integritate și disponibilitate sunt denumite în mod sinonim principii , atribute de securitate , proprietăți , aspecte fundamentale , criterii de informare , caracteristici critice sau elemente structurale de bază [5] .

Între timp, în comunitatea profesională, există o dezbatere continuă cu privire la modul în care triada CIA se potrivește tehnologiilor în evoluție rapidă și cerințelor de afaceri. În urma acestor discuții, apar recomandări privind necesitatea stabilirii relației dintre securitate și confidențialitate, precum și aprobarea unor principii suplimentare [5] . Unele dintre ele sunt deja incluse în standardele Organizației Internaționale de Standardizare (ISO):

Confidențialitate

Confidențialitatea informațiilor este obținută prin acordarea accesului la acestea cu cele mai puține privilegii bazate pe principiul conștientizării minime necesare ( engleză  need-to-know ). Cu alte cuvinte, o persoană autorizată ar trebui să aibă acces doar la informațiile de care are nevoie pentru a-și îndeplini atribuțiile oficiale. Infracțiunile împotriva vieții private menționate mai sus, cum ar fi furtul de identitate, sunt încălcări ale vieții private. Una dintre cele mai importante măsuri de asigurare a confidențialității este clasificarea informațiilor, care permite ca acestea să fie clasificate ca strict confidențiale , sau destinate uzului public sau intern. Criptarea informațiilor este un exemplu tipic de unul dintre mijloacele de asigurare a confidențialității [69] .

Integritate

Implementarea corectă a operațiunilor sau adoptarea unor decizii corecte într-o organizație este posibilă numai pe baza unor date fiabile stocate în fișiere, baze de date sau sisteme, sau difuzate prin rețele de calculatoare. Cu alte cuvinte, informațiile trebuie protejate de modificările intenționate, neautorizate sau accidentale față de starea inițială, precum și de orice denaturare în timpul stocării, transmiterii sau procesării. Cu toate acestea, integritatea sa este amenințată de viruși de computer și bombe logice , erori de programare și modificări de cod rău intenționat, falsificarea datelor, acces neautorizat, uși din spate și altele asemenea. Pe lângă acțiunile intenționate, în multe cazuri modificările neautorizate ale informațiilor sensibile rezultă din defecțiuni tehnice sau erori umane datorate supravegherii sau lipsei de pregătire profesională. De exemplu, încălcările de integritate duc la: ștergerea accidentală a fișierelor, introducerea de valori eronate, modificarea setărilor, executarea comenzilor incorecte, atât de către utilizatorii obișnuiți, cât și de către administratorii de sistem [69] [70] .

Pentru a proteja integritatea informațiilor, este necesar să se aplice o varietate de măsuri pentru a controla și gestiona modificările aduse informațiilor și sistemelor care le procesează. Un exemplu tipic de astfel de măsuri este restrângerea cercului de persoane cu drept de a-i schimba doar pe cei care au nevoie de un astfel de acces pentru a-și îndeplini atribuțiile oficiale. Totodată, trebuie respectat principiul separației puterilor , conform căruia modificările datelor sau ale sistemului informațional sunt efectuate de către o persoană, iar o altă persoană le confirmă sau le respinge. În plus, orice modificări din timpul ciclului de viață al sistemelor informaționale trebuie să fie consecvente, testate pentru a asigura integritatea informațiilor și introduse în sistem numai prin tranzacții corect formate . Actualizările de software trebuie efectuate într-un mod sigur. Orice acțiuni care implică modificări trebuie înregistrate [69] [70] .

Disponibilitate

Conform acestui principiu, informațiile ar trebui să fie disponibile persoanelor autorizate atunci când este necesar. Principalii factori care afectează disponibilitatea sistemelor informaționale sunt atacurile DoS ( abreviere pentru Denial of Service din  engleză  -  „denial of service”), atacurile ransomware, sabotajul . În plus, erorile umane neintenționate din cauza supravegherii sau din cauza pregătirii profesionale insuficiente sunt o sursă de amenințări la accesibilitate: ștergerea accidentală a fișierelor sau înregistrărilor din baze de date, setări eronate ale sistemului; refuzul serviciului ca urmare a depășirii puterii permise sau a lipsei resurselor echipamentelor sau a defecțiunilor rețelelor de comunicații; actualizare hardware sau software eșuată; oprirea sistemelor din cauza pene de curent. Dezastrele naturale joacă, de asemenea, un rol semnificativ în perturbarea accesibilității: cutremure, tornade, uragane, incendii, inundații și altele asemenea. În toate cazurile, utilizatorul final pierde accesul la informațiile necesare activităților sale, existând un timp de nefuncționare forțat. Criticitatea sistemului pentru utilizator și importanța acestuia pentru supraviețuirea organizației în ansamblu determină impactul timpului de nefuncționare. Măsurile de securitate inadecvate cresc riscul de malware, distrugere a datelor, intruziune sau atacuri DoS. Astfel de incidente pot face sistemele inaccesibile utilizatorilor normali [71] .

Imposibilitatea refuzului

Termenul „non-repudiare” ( engleză  Non-Repudiation , uneori folosit împreună - Nonrepudiation ) a apărut pentru prima dată în 1988 în standardul internațional „Security of the interconnection of open systems” (ISO 7498-2). Înțeles de obicei ca sens opus termenului de drept anglo-saxon Repudiation din  engleză.  -  „refuz, negare”, care are două interpretări principale. Pe de o parte, înseamnă dreptul fundamental al părții de a refuza îndeplinirea obligațiilor din tranzacție din motive legale [72] dacă, de exemplu, semnătura de pe un document pe hârtie a fost falsificată sau semnătura originală a fost obținută ilegal (cum ar fi rezultat al fraudei). În acest caz, sarcina probei autenticității semnăturii revine părții care se bazează pe aceasta [73] . O altă interpretare este renunțarea abuzivă la obligații. În contextul securității computerelor, aceasta poate fi, de exemplu, negarea de către una dintre părți a faptului de a trimite, primi, de a patern sau de conținutul unui mesaj electronic. În contextul securității informațiilor, „nerepudierea” este înțeleasă ca o confirmare a integrității și originii originale a datelor, cu excluderea posibilității de falsificare, care poate fi verificată în orice moment de către terți, sau ca o identificare (identitate, document, obiect), care poate fi considerat cu un grad ridicat de certitudine autentic și nu poate fi infirmat [73] .

Sfera (implementarea) conceptului de „securitate informațională”

O abordare sistematică a descrierii securității informațiilor propune evidențierea următoarelor componente ale securității informațiilor [74] :

  1. Baza legislativă, de reglementare și științifică.
  2. Structura și sarcinile organismelor (diviziunilor) care asigură securitatea IT.
  3. Măsuri și metode organizatorice, tehnice și de regim (Politica de securitate a informațiilor).
  4. Metode software și hardware și mijloace de asigurare a securității informațiilor.

Mai jos în această secțiune, fiecare dintre componentele securității informațiilor va fi discutată în detaliu.

Scopul implementării securității informaționale a oricărui obiect este de a construi un sistem de securitate a informațiilor pentru acest obiect (ISIS). Pentru construirea și funcționarea eficientă a Sistemului de întreținere IS, este necesar să:

După cum se poate observa din ultima etapă de lucru, procesul de implementare a Sistemului de întreținere SI este continuu și ciclic (după fiecare revizuire) revine la prima etapă, repetând toate celelalte în secvență. Acesta este modul în care Sistemul de întreținere IS este ajustat pentru a îndeplini în mod eficient sarcinile de protecție a informațiilor și de a îndeplini noile cerințe ale unui sistem informațional actualizat constant.

Documente normative în domeniul securității informațiilor

În Federația Rusă, actele juridice de reglementare în domeniul securității informațiilor includ [75] :

Acte ale legislației federale:

Listele și conținutul documentelor de reglementare specificate în domeniul securității informațiilor sunt discutate mai detaliat în secțiunea Legea Informației .

Documentele de reglementare și metodologice includ

Organisme (diviziuni) care asigură securitatea informațiilor

În funcție de aplicarea activităților din domeniul protecției informațiilor (în cadrul autorităților de stat sau organizațiilor comerciale), activitatea în sine este organizată de organe (diviziuni) speciale de stat sau departamente (servicii) ale întreprinderii.

Organismele de stat ale Federației Ruse care controlează activitățile în domeniul securității informațiilor:

Servicii care organizează protecția informațiilor la nivel de întreprindere

Măsuri și metode organizatoric-tehnice și de regim

Pentru a descrie tehnologia de securitate a informațiilor a unui anumit sistem de informații , așa-numita Politică de securitate a informațiilor sau Politica de securitate a sistemului informațional în cauză este de obicei construită .

Politica de securitate (informații din organizație) ( ing.  Politica de securitate organizațională ) - un set de reguli, proceduri, practici sau linii directoare documentate în domeniul securității informațiilor care ghidează organizația în activitățile sale.

Politica de securitate a tehnologiilor informației și telecomunicațiilor ( eng.  ІТ politică de securitate ) - reguli, directive, practici stabilite care determină modul în care în cadrul unei organizații și al tehnologiilor sale de informare și telecomunicații să gestioneze, să protejeze și să distribuie activele, inclusiv informațiile critice.

Pentru a construi o Politică de securitate a informațiilor, se recomandă să luați în considerare separat următoarele domenii de protecție a sistemului informațional [74] :

În același timp, pentru fiecare dintre domeniile de mai sus, Politica de securitate a informațiilor ar trebui să descrie următoarele etape ale creării instrumentelor de protecție a informațiilor:

  1. Definirea resurselor informative si tehnice de protejat;
  2. Identificarea setului complet de amenințări potențiale și canale de scurgere de informații ;
  3. Efectuarea unei evaluări a vulnerabilității și riscurilor informațiilor în prezența unei varietăți de amenințări și canale de scurgere;
  4. Determinarea cerințelor pentru sistemul de protecție;
  5. Implementarea alegerii instrumentelor de securitate a informațiilor și a caracteristicilor acestora;
  6. Implementarea și organizarea utilizării măsurilor, metodelor și mijloacelor de protecție selectate;
  7. Implementarea controlului integrității și managementului sistemului de protecție.

Politica de securitate a informațiilor este formalizată sub forma unor cerințe documentate pentru sistemul informațional . Documentele sunt de obicei împărțite în funcție de nivelurile de descriere (detaliu) ale procesului de protecție.

Documentele de nivel superior ale Politicii de securitate a informațiilor reflectă poziția organizației față de activitățile din domeniul securității informațiilor, dorința acesteia de a respecta cerințele și standardele de stat, internaționale în acest domeniu. Asemenea documente pot fi numite „Concept SI”, „Regulament privind managementul SI”, „Politica IS”, „Standard tehnic IS”, etc. uz extern și intern.

Conform GOST R ISO / IEC 17799-2005, la nivelul superior al Politicii de securitate a informațiilor ar trebui întocmite următoarele documente: „Conceptul de securitate IS”, „Reguli pentru utilizarea acceptabilă a resurselor sistemului informațional”, „Planul de continuitate a afacerii”. ".

Nivelul mediu include documente legate de anumite aspecte ale securității informațiilor. Acestea sunt cerințele pentru crearea și funcționarea instrumentelor de securitate a informațiilor, organizarea informațiilor și a proceselor de afaceri ale organizației într-un domeniu specific al securității informațiilor. De exemplu: Securitatea datelor, Securitatea comunicațiilor, Utilizarea instrumentelor de protecție criptografică, Filtrarea conținutului etc. Astfel de documente sunt de obicei publicate sub formă de politici (standarde) tehnice și organizaționale interne ale organizației. Toate documentele privind politica de securitate a informațiilor de nivel mediu sunt confidențiale.

Politica de securitate a informațiilor de nivel inferior include reglementări de lucru, manuale de administrare și instrucțiuni de operare pentru serviciile individuale de securitate a informațiilor.

Software și hardware ale sistemului de securitate a informațiilor

Literatura de specialitate sugerează următoarea clasificare a instrumentelor de securitate a informațiilor [74] .


Protecția organizațională a obiectelor de informatizare

Protecția organizațională este reglementarea activităților de producție și a relației dintre artiștii executanți pe o bază legală care exclude sau împiedică în mod semnificativ deținerea ilegală de informații confidențiale și manifestarea amenințărilor interne și externe. Protecția organizațională asigură:

Principalele activități organizatorice includ:

În fiecare caz, măsurile organizatorice au o formă și un conținut specific acestei organizații, menite să asigure securitatea informațiilor în condiții specifice.

Securitatea informațională a întreprinderii

Securitatea informațiilor întreprinderii este starea de securitate a datelor corporative, care asigură confidențialitatea, integritatea, autenticitatea și disponibilitatea acestora.

Sarcinile sistemelor de securitate a informațiilor întreprinderii sunt diferite:

Asigurarea securității informațiilor unei întreprinderi este posibilă doar cu o abordare sistematică și integrată a protecției. Un UPS cu drepturi depline implică monitorizarea continuă a tuturor evenimentelor și condițiilor importante care afectează securitatea datelor și se efectuează pe tot parcursul anului [78] .

Securitatea informațiilor unei întreprinderi este realizată printr-o gamă întreagă de măsuri organizatorice și tehnice menite să protejeze datele corporative. Măsurile organizaționale includ proceduri și reguli documentate pentru lucrul cu diferite tipuri de informații, servicii IT, instrumente de securitate etc. Măsurile tehnice includ utilizarea controlului accesului hardware și software, monitorizarea scurgerilor, protecție antivirus, firewall-uri, protecție împotriva radiațiilor electromagnetice și altele [79] .

Asigurarea securității informațiilor este un proces continuu care include cinci pași cheie:

  1. cost estimat;
  2. dezvoltarea unei politici de securitate;
  3. implementarea politicii;
  4. pregătirea calificată a specialiștilor;
  5. audit.

Procesul de asigurare a securității informațiilor începe cu evaluarea proprietății, determinarea activelor informaționale ale organizației, factorii care amenință aceste informații și vulnerabilitatea acesteia, semnificația riscului general pentru organizație. In functie de proprietate se va intocmi un program de protectie a acestor bunuri. Odată ce un risc a fost identificat și cuantificat, poate fi selectată o contramăsură rentabilă pentru a atenua acel risc.

Obiectivele evaluării securității informațiilor:

Cinci tipuri principale de evaluare:

La efectuarea unei evaluări, documente precum:

După ce au primit politicile și procedurile de mai sus, fiecare dintre ele este examinată pentru relevanță, legitimitate, completitudine și relevanță, deoarece politicile și procedurile trebuie să fie în concordanță cu scopul definit în document.

După evaluare, este necesar să se elaboreze politici și proceduri care să definească starea așteptată de securitate și lista lucrărilor necesare. Nu există nicio politică - nu există un plan pe baza căruia organizația să dezvolte și să execute un program eficient UPS.

Ar trebui dezvoltate următoarele politici și proceduri:

Implementarea politicii de securitate consta in implementarea mijloacelor tehnice si a mijloacelor de control direct, precum si in selectia personalului de securitate. Pot fi necesare modificări ale configurației sistemelor în afara domeniului de aplicare al departamentului de securitate, astfel încât administratorii de sistem și de rețea ar trebui să fie implicați în implementarea programului de securitate.

La utilizarea oricăror sisteme de securitate noi, trebuie să fie disponibil personal calificat. O organizație nu poate asigura protecția informațiilor clasificate fără implicarea angajaților săi. Recalificarea profesională competentă este un mecanism de furnizare a angajaților cu informațiile necesare.

Angajații trebuie să știe de ce problemele de securitate sunt atât de importante și trebuie să fie instruiți pentru a identifica și proteja informațiile sensibile.

Auditul  este ultimul pas în procesul de implementare a securității informațiilor. Ea determină starea securității informației în cadrul organizației, crearea politicilor și procedurilor adecvate, activarea controalelor tehnice și pregătirea personalului [80] .

Vezi și

Note

Comentarii
  1. ↑ În jargonul profesional al securității informațiilor, infractorii cibernetici sunt adesea numiți pălărie neagră din  engleză.  -  „pălărie neagră” [11] .
  2. ↑ Codul penal rus definește „Frauda în domeniul informațiilor informatice” ca:

    ... sustragerea proprietății altcuiva sau dobândirea dreptului asupra proprietății altcuiva prin introducerea, ștergerea, blocarea, modificarea informațiilor informatice sau interferarea în alt mod cu funcționarea mijloacelor de stocare, prelucrare sau transmitere a informațiilor informatice sau a rețelelor de informații și telecomunicații...

    - partea 6 a art. 159 din Codul penal al  Federației Ruse
  3. ↑ În Rusia, sunt uniți în specializarea științifică „05.13.19 Metode și sisteme de protecție a informațiilor, securitatea informațiilor”, care, însă, nu include cercetări în domeniul criptografiei , algoritmi și metode de protecție a informațiilor criptografice [42] .
  4. ↑ În 2015, au fost înlocuite cu opt noi: conștientizare, competențe și autoritate ; responsabilitatea ; drepturile omului și valorile fundamentale ; cooperare ; ciclul de evaluare și management al riscului ; masuri de securitate ; inovare ; asigurarea pregătirii și continuității [58] .
  5. ↑ În GOST R ISO / IEC 27000-2012 , termenul de non-repudiare este tradus din engleză prin non- repudiare ocazională [55] .
Surse
  1. ↑ 1 2 3 NIST IR 7298 r2, 2013 , pp. 94-95.
  2. ↑ Andrew, 2014 .
  3. ↑ NIST IR 7298 r2, 2013 , p. 164.
  4. ↑ Schlienger, 2003 , pp. 46-52.
  5. ↑ 1 2 3 Samonas, 2014 , pp. 21–45.
  6. ↑ Jacques, 2016 .
  7. ↑ Petty, 2017 .
  8. ↑ Fornie, 2017 .
  9. ↑ Frost & Sullivan, 2017 , p. 2.
  10. ↑ 12 Olavsrud , 2017 .
  11. ↑ Moore, 2011 .
  12. ↑ Europol, 2017 .
  13. ↑ Stewart, 2015 , pp. 882–883.
  14. ↑ Ramzan, 2010 , p. 433.
  15. ↑ Van der Merwe, 2005 , pp. 249-254.
  16. ↑ Dawes, 2012 .
  17. ↑ Provos, 2012 .
  18. ↑ Furtul de identitate .
  19. ↑ Dubal .
  20. ↑ Hoofnagle, 2007 .
  21. ^ Armstrong, 2017 .
  22. ↑ Gorodyansky, 2013 .
  23. ↑ Zemskaya, 2005 .
  24. ↑ Gordon & Loeb, 2002 .
  25. ↑ Stewart, 2015 , pp. 72.
  26. ↑ Suetonius Tranquill, 1964 .
  27. ↑ Singh, 2009 .
  28. ^ Johnson, 1998 .
  29. ↑ Izmozik, 2015 .
  30. ↑ Soboleva, 2002 .
  31. ↑ Tokareva, 2012 , p. 82-107.
  32. ↑ Nosov, 2002 .
  33. ↑ Hastedt, 2011 , p. 589-590.
  34. ↑ Personal. Bătălia pe cele șapte mări. — P. 86
  35. ↑ Iezhov, 2007 .
  36. ↑ Singh, 2009 , p. treizeci.
  37. ↑ Sebag–Montefiore, 2011 , p. 162.
  38. ↑ Singh, 2009 , p. 35.
  39. ↑ Jhelnikov, 1996 .
  40. ↑ Singh, 2009 , p. 191-201.
  41. ↑ Anin, 2000 , p. 67-70.
  42. ↑ VAK .
  43. ↑ De Nardis, 2007 , pp. 681–704.
  44. ↑ 1 2 3 4 5 6 Khorev A. A. Organizarea protecției informațiilor confidențiale într-o structură comercială  // Protecția informațiilor. În interior  : revistă. - 2015. - Nr. 1 . - S. 14-17 . — ISSN 2413-3582 .
  45. ↑ 1 2 3 GOST R ISO/IEC 27000-2012 , p. 1-3.
  46. ↑ ISACA .
  47. ↑ Pipkin, 2000 .
  48. ↑ Blakley, McDermott & Geer, 2001 .
  49. ↑ Anderson, 2003 .
  50. ↑ Venter & Eloff, 2003 .
  51. ↑ Cherdantseva, 2013 .
  52. ↑ Șușkov și Sergheev, 2016 , p. 69-76.
  53. ↑ Saltzer & Schroeder, 1975 .
  54. ↑ 1 2 GOST R ISO/IEC 27000-2012 , p. 2.
  55. ↑ 1 2 GOST R ISO/IEC 27000-2012 , p. 3.
  56. ↑ 1 2 3 Lukatsky, 2012 .
  57. ↑ OCDE, 2002 , pp. 9-12.
  58. ↑ OCDE, 2015 , pp. 9-11.
  59. ↑ NIST SP 800-14, 1996 , pp. 4-10.
  60. ↑ NIST SP 800-160v1, 2016 , p. 205.
  61. ↑ Parker, 1998 .
  62. ↑ Slade .
  63. ↑ Hughes & Cybenko, 2013 .
  64. ↑ ZECI .
  65. ↑ Teplow .
  66. ↑ O-ISM3v2, 2017 .
  67. ↑ Gordon, 2015 , p. opt.
  68. ↑ Krutz & Vines, 2003 , capitolul 1, p. unu.
  69. ↑ 1 2 3 Gordon, 2015 , p. 7.
  70. ↑ 12 Stewart , 2015 , p. 5.
  71. ↑ Gordon, 2015 , p. 7-8.
  72. ↑ McCarthy, 2006 , p. 65.
  73. ↑ 12 McCullagh & Caelli , 2000 .
  74. ↑ 1 2 3 Domarev V.V. Securitatea tehnologiilor informaționale. Abordare sistem (link inaccesibil) . www.security.ukrnet.net _ Preluat la 10 mai 2013. Arhivat din original la 10 mai 2013.    - K .: OOO TID Dia Soft, 2004. - 992 p.
  75. ↑ Lapina M. A., Revin A. G., Lapin V. I. Dreptul informației. M.: UNITATEA-DANA, Drept și Drept, 2004.
  76. ↑ Securitatea informației în sistemele moderne de gestionare a bazelor de date . www.compress.ru _ Preluat la 13 ianuarie 2019. Arhivat din original la 7 mai 2019.
  77. ↑ Securitatea organizațională în întreprindere: securitate pe hârtie și practică . infosec.ru . Consultat la 13 ianuarie 2019. Arhivat din original la 25 aprilie 2014.
  78. ↑ Rusinov S. Asigurarea securității informaționale a întreprinderilor comerciale, a rețelelor comerciale și a infrastructurii acestora: http://www.itsec.ru/articles2/Inf_security/infosec-torg Copie de arhivă din 4 aprilie 2016 pe Wayback Machine
  79. ↑ Melnikov V.P., Kleymenov S.A., Petrakov A.M. Securitatea informațiilor și protecția informațiilor Ed. III. Proc. Alocație pentru studenți. superior manual stabilimente/V. P. Melnikov, S. A. Kleymenov, A. M. Petrakov.-M.: 2008. — 336 p.
  80. ↑ Asigurarea securității informațiilor: http://it-sektor.ru/obespechenie-informatscionnoyi-bezopasnosti.html Arhivat 7 aprilie 2016 la Wayback Machine .

Literatură

în limbi străine

Link -uri

  Accesați articolul Wikidata  Dicționare și enciclopedii
În cataloagele bibliografice
 Securitatea informațiilor
Mijloace de protecție împotriva accesului
neautorizat
informație
Protecţie
Vulnerabilități