4. Информация покупается и продается.

Ее правомочно рассматривать как товар, имеющий определенную цену. Цена, как и ценность информации, связаны с полезностью информации для конкретных людей, организаций, государств. Информация может быть ценной для ее владельца, но бесполезной для других. В этом случае информация не может быть товаром, а, следовательно, она не имеет и цены. Например, сведения о состоянии здоровья обычного гражданина являются ценной информацией для него. Но эта информация, скорее всего, не заинтересует кого-то другого, а, следовательно, не станет товаром, и не будет иметь цены.

Информация может быть получена тремя путями:

- проведением научных исследований;

- покупкой информации;

- противоправным добыванием информации.

Как любой товар, информация имеет себестоимость, которая определяется затратами на ее получение. Себестоимость зависит от выбора путей получения информации и минимизации затрат при добывании необходимых сведений выбранным путем. Информация добывается с целью получения прибыли или преимуществ перед конкурентами, противоборствующими сторонами. Для этого информация:

- продается на рынке;

- внедряется в производство для получения новых технологий и товаров, приносящих прибыль;

- используется в научных исследованиях;

- позволяет принимать оптимальные решения в управлении.

Существует несколько подходов к измерению количества информации.

А. Энтропийный подход.

В теории информации количество информации оценивается, мерой уменьшения у получателя неопределенности (энтропии) выбора или ожидания событий после получения информации. Количество информации тем больше, чем ниже вероятность события. Энтропийный подход широко используется при определении количества информации, передаваемой по каналам связи. Выбор при приеме информации осуществляется между символами алфавита в принятом сообщении. Пусть сообщение, принятое по каналу связи, состоит из N символов (без учета связи между символами в сообщении). Тогда количество информации в сообщении может быть подсчитано по формуле Шеннона:

где Pi - вероятность появления в сообщении символа i; k - количество символов в алфавите языка.

Анализ формулы Шеннона показывает, что количество информации в двоичном представлении (в битах или байтах) зависит от двух величин: количества символов в сообщении и частоты появления того или иного символа в сообщениях для используемого алфавита. Этот подход абсолютно не отражает насколько полезна полученная информация, а позволяет определить лишь затраты на передачу сообщения.

Б. Тезаурусный подход.

Этот подход предложен Юлием Анатольевичем Шрейдером. Он основан на рассмотрении информации как знаний. Согласно этому подходу количество информации, извлекаемое человеком из сообщения, можно оценить степенью изменения его знаний. Структурированные знания, представленные в виде понятий и отношений между ними, называются тезаурусом. Структура тезауруса иерархическая. Понятия и отношения, группируясь, образуют другие, более сложные понятия и отношения.

Знания отдельного человека, организации, государства образуют соответствующие тезаурусы. Тезаурусы организационных структур образуют тезаурусы составляющих их элементов. Так тезаурус организации образуют, прежде всего, тезаурусы сотрудников, а также других носителей информации, таких как документы, оборудование, продукция и т. д.

Для передачи знаний требуется, чтобы тезаурусы передающего и принимающего элемента пересекались. В противном случае владельцы тезаурусов не поймут друг друга.

Тезаурусы человека и любых организационных структур являются их капиталом. Поэтому владельцы тезаурусов стремятся сохранить и увеличить свой тезаурус. Увеличение тезауруса осуществляется за счет обучения, покупки лицензии, приглашения квалифицированных сотрудников или хищения информации.

В обществе наблюдаются две тенденции: развитие тезаурусов отдельных элементов (людей, организованных структур) и выравнивание тезаурусов элементов общества.

Выравнивание тезаурусов происходит как в результате целенаправленной деятельности (например, обучения), так и стихийно. Стихийное выравнивание тезаурусов происходит за счет случайной передачи знаний, в том числе и незаконной передачи.

В. Практический подход.

На практике количество информации измеряют, используя понятие «объем информации». При этом количество информации может измеряться в количестве бит (байт), в количестве страниц текста, длине магнитной ленты с видео- или аудиозаписью и т.п. Однако очевидно, что на одной странице информации может содержаться больше или меньше, по крайней мере, по двум причинам. Во-первых, разные люди могут разместить на странице различное количество сведений об одном и том же объекте, процессе или явлении материального мира. Во-вторых, разные люди могут извлечь из одного и того же текста различное количество полезной, понятной для них информации. Даже один и тот же человек в разные годы жизни получает разное количество информации при чтении книги.

В результате копирования без изменения информационных параметров носителя количество информации не изменяется, а цена снижается. Примером копирования без изменения информационных параметров может служить копирование текста с использованием качественных копировальных устройств. Текст копии, при отсутствии сбоев копировального устройства, будет содержать точно такую же информацию, как и текст оригинала. Но при копировании изображений уже не удастся избежать искажений. Они могут быть только большими или меньшими.

В соответствии с законами рынка, чем больше товара появляется, тем он дешевле. Этот закон полностью справедлив и в отношении копий информации. Действие этого закона можно проследить на примере пиратского распространения программных продуктов, видео продукции и т.п.

В качестве предмета защитырассматривается информация, хранящаяся, обрабатываемая и передаваемая в компьютерных системах. Особенностями этой информации являются:

- двоичное представление информации внутри системы, независимо от физической сущности носителей исходной информации;

- высокая степень автоматизации обработки и передачи информации;

- концентрация большого количества информации в АС.

Объектом защиты информацииявляется компьютерная система или автоматизированная система обработки данных (АСОД). В работах, посвященных защите информации в автоматизированных системах, до последнего времени использовался термин АСОД, который все чаще заменяется термином АС.

Под системой защиты информации в АСпонимается единый комплекс правовых норм, организационных мер, технических, программных и криптографических средств, обеспечивающий защищенность информации в АС в соответствии с принятой политикой безопасности.

Взаимосвязанные методы, модели и алгоритмы, программные, аппаратные и организационные средства должны образовывать четкую систему, определяющую политику безопасности (ПБ) информации при ее обработке, хранении и передаче в АС.

Политика– это набор формальных правил (официально утвержденных или традиционно сложившихся), которые регламентируют функционирование механизма информационной безопасности.

Политика реализуется средствами аутентификации и идентификации, контроля доступа (создания и утверждения набора правил, определяющих для каждого участника информационного процесса разрешение на доступ к ресурсам и уровень этого доступа). Контроль доступа невозможен без авторизации – формирования профиля прав для участника информационного обмена (аутентифицированного или анонимного) из набора правил контроля.

Политика реализуется средствами аудита и мониторинга – регулярного отслеживания событий, происходящих в процессе обмена информацией, с регистрацией и анализом предопределенных значимых или подозрительных событий. При этом мониторинг обычно производится в режиме реального времени.

Политика безопасности должна предусматривать также реагирование на инциденты, управление конфигурацией, управление пользователями (обеспечение условий их работы в среде информационного обмена в соответствии с требованиями безопасности); управление рисками (обеспечение соответствия возможных потерь от нарушения информационной безопасности мощности защитных средств); обеспечение устойчивости (поддержание среды информационного обмена в минимально допустимом работоспособном состоянии в условиях воздействия деструктивных факторов).

В инструментарий информационной безопасности входят:

-персонал – люди, которые будут обеспечивать реализацию политики безопасности;

-нормативное обеспечение – документы, создающие правовую основу для системы защиты;

-модели безопасности – схемы обеспечения безопасности, заложенные в конкретную информационную систему;

-криптография;

-антивирусное обеспечение;

-межсетевые экраны;

-сканеры безопасности – устройства проверки качества функционирования модели безопасности для данной АС;

-систем обнаружения атак – устройства мониторинга активности в информационной среде, иногда с возможностью принятия самостоятельного участия в активной деятельности;

-резервное копирование;

-дублирование (резервирование) – создание альтернативных устройств, необходимых для функционирования информационной среды, на случай выхода из строя основных;

-аварийный план – набор мероприятий – предназначенных для претворения в жизнь в случае, если события произошли не так, как предусматривалось правилами информационной безопасности;

-обучение пользователей – подготовка активных участников информационной среды для работы в условия соответствия требованиям информационной безопасности.

Все эти перечисленные средства характерны для предприятия, развивающего службу информационной безопасности.

Специалист, отвечающий за практическое воплощение политики безопасности – администратор безопасности, становится все более значимой фигурой в целом ряде организаций.

Только наличие двух специалистов – сетевого администратора и администратора безопасности, на первом из которых лежит повседневное управление функционирование автоматизированной системы, а на втором – формирование политики информационной безопасности и постоянный контроль за ее реализацией, позволяет адекватно решать вопросы обеспечения безопасности в информационных системах.

Администратор безопасности должен сочетать высокую эрудицию в области организационно-правовых знаний с глубокими знаниями вопросов аппаратно-программного обеспечения вычислительной техники, не уступающим знаниям системного администратора.

Теоретическим базисом для его деятельности должна быть теория обеспечения безопасности информации, которая возникла из прикладной теории алгоритмов, теории передачи информации, теории кодирования, криптологии, рассматриваемых с единых системных позиций.