Риски и угрозы безопасности

Несмотря на предпринимаемые дорогостоящие методы, функционирование компьютерных информационных систем обнаружило слабые места в защите информации. Неизбежным следствием стали постоянно увеличивающиеся расходы и усилия на защиту информации.

Однако для того, чтобы принятые меры оказались эффективными, необходимо определить, что представляет угрозу безопасности информации, а также выявить возможные каналы утечки информации и пути несанкционированного доступа к защищаемым данным.

Риск нарушения безопасности может пониматься как вероятность осуществления такого события. Если такие события происходят достаточно часто, по их частоте можно довольно точно оценить соответствующий риск. Если такие события случаются редко, риск можно оценивать на основе опыта и знаний экспертов, но это будут уже только субъективные вероятности. Тем не менее, в некоторых случаях иначе оценить риск невозможно, потому что он всегда предполагает неполноту знаний о ситуации, иногда даже невозможность получения достоверного знания о ней, о тех ограничениях, которые определяются внешними обстоятельствами. Как правило, уровень риска пропорционален уровню приложения усилий в защите информации и обеспечении безопасности в целом: чем выше риск, тем такие усилия должны быть больше, чем ниже – тем могут быть меньше. Нужно только помнить, что высокий уровень вероятности не определяет, что событие обязательно произойдёт, а низкий – что такого события не случится. Наличие таких рисков, наряду с нематериальным характером информации, определяет высокий уровень сложности обеспечения её защиты.

Под угрозой безопасности информации понимается действие или событие, которое может привести к разрушению, искажению или несанкционированному использованию информационных ресурсов, включая хранимую, передаваемую и обрабатываемую информацию, а также программные и аппаратные средства.

Угрозы принято делить на случайные, или непреднамеренные, и умышленные. Источником первых могут быть ошибки в программном обеспечении, выходы из строя аппаратных средств, неправильные действия пользователей или администрации и т.п. Умышленные угрозы, в отличие от случайных, преследуют цель нанесения ущерба пользователям автоматизированных информационных систем и, в свою очередь, подразделяются на активные и пассивные.

Пассивные угрозы, как правило, направлены на несанкционированное использование информационных ресурсов, не оказывая при этом влияния на ее функционирование. Пассивной угрозой является, например, попытка получения информации, циркулирующей в каналах, посредством их прослушивания.

Активные угрозы имеют целью нарушение нормального процесса функционирования посредством целенаправленного воздействия на аппаратные, программные и информационные ресурсы. К активным угрозам относятся, например, разрушение или радиоэлектронное подавление линий связи, вывод из строя компьютеров или их операционных систем, искажение сведений в базах данных или в системной информации в компьютерах и т.п. Источниками активных угроз могут быть непосредственные действия злоумышленников, вредоносные программы, например, вирусы или троянские программы и т.п.

Система безопасности должна строиться так, чтобы снижать вероятности рисков и противодействовать возможным угрозам безопасности, а также быть способной содействовать осуществлению выхода из наступившей опасной ситуации с наименьшими потерями. Иначе говоря, необходимо строить систему безопасности так, чтобы она сильнее защищала от высоких рисков и от наиболее значимых угроз нарушения защиты информации.