В процессе эксплуатации ИТКС необходимо обеспечить надежность и эффективность функционирования системы обеспечения информационной безопасности.

Поэтому, на данном этапе должны выполняться следующие мероприятия:

а) анализ ИТКС и технологии обработки информации с учетом изменений обстановки;

б) переработка и обновление разработанной на предыдущих этапах документации планирование проведения мероприятий по защите информации в соответствии с выводами из анализа;

б) обучение и переподготовка персонала и пользователей ИТКС;

в) соблюдение режима ограничения и разграничения доступа к информации, контроль выполнения установленных правил работы в ИТКС;

д) оценка эффективности функционирования и совершенствование системы, обновление и доработка имеющихся программных и аппаратных средств защиты, замена их на более совершенные.

При выполнении данных мероприятий необходимо особое внимание уделять таким вопросам, как переподготовка и повышение квалификации кадров, выбор процессов и технологий, а также проведение постоянного мониторинга обстановки в области информационной безопасности. Такое положение дел обуславливается тем, что технология обработки информации постоянно меняется, изменяются программные и аппаратные средства, приходит и уходит персонал. В связи с этим необходимо периодически пересматривать разработанные организационно-распорядительные доку­менты, проводить обследование ИТКС или ее подсистем, обучать новый персонал, обновлять средства защиты.

Способность ИТКС противостоять возможным воздействиям на ее информационные ресурсы напрямую зависит от полноты и качества выполнения всех вышеуказанных мероприятий по построению системы обеспечения информационной безопасности. Такая система позволит уменьшить, а во многих случаях и полностью предотвратить, возможный ущерб от атак на компоненты и ресурсы ИТКС, существенно снизить риск неожиданного вторжения, повысить способность поддерживать непрерывность нормального процесса жизнедеятельности и подготовить ИТКС к решению меняющихся задач, т. е. достичь необходимого и достаточного уровня защищенности системы.

Необходимый уровень защиты информации устанавливается собственником информационных ресурсов или уполномоченным лицом в соответствии с действующим законодательством. Однако, в каждом конкретном случае перечень мер защиты, принимаемых для достижения установленного уровня, определяется дифференцировано по результатам обследования ИТКС, с учетом соотношения затрат на организацию защиты информации и величины ущерба, который может быть нанесен собственнику информационных ресурсов. Согласно оценкам специалистов, затраты на средства защиты информации в ИТКС, обрабатывающих конфиденциальную информацию или содержащую коммерческую тайну, должны составлять до 10% от стоимости самой системы, для систем, обрабатывающих сведения, составляющие государственную тайну, – от 15 до 35%. Наиболее затратную и трудоемкую часть работы составляют мероприятия по организации технической защиты информации. Причем, как показывает практика, большую часть статьи расходов по защите информации составляют затраты на программно-техническую составляющую системы обеспечения информационной безопасности.

Вместе с тем, планируя мероприятия по защите информации необходимо исходить не только из вопросов рентабельности, следует также провести анализ возможных социальных последствий воздействий на информацию, циркулирующую в данной системе. ИТКС, или один из ее сегментов может принимать участие в обеспечении функционирования объекта, на котором имеется экологически опасное или социально значимое производство или технологический процесс, нарушение штатного режима работы которого, может привести к чрезвычайной ситуации определенного уровня и масштаба, а также осуществлять управление чувствительными (важными) для государства процессами, нарушение функционирования которыми приводит к значительным негативным последствиям для страны в экономической внутриполитической, социальной, информационной и других сферах. Все это говорит о том, что такие ИТКС следует рассматривать как ключевые системы информационной инфраструктуры. В зависимости от оценки возможных последствий воздействий на них, а также исходя из назначения системы, принадлежности ее к тем или иным важным сегментам информационной и телекоммуникационной инфраструктуры России необходимо проводить градацию ключевых систем информационной инфраструктуры по степени важности.

 

Литература

1. Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27 июля 2006 года № 149-ФЗ.

2. Концепция национальной безопасности Российской Федерации, утверждена Указом Президента от 17 декабря 1997 г. N 1300.

3. Доктрина информационной безопасности Российской Федерации, утверждена Указом Президента Российской Федерации 9 сентября 2000 г. № Пр-1895.

4. Положение о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам, утверждено постановлением Совета Министров – Правительства Российской Федерации от 15 сентября 1993 г. № 912-51.

5. Положение о Федеральной службе по техническому и экспортному контролю, утверждено Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.

6. ГОСТ Р 51275 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения».

7. ГОСТ Р 51624 «Защита информации. Автоматизированные системы в защищенном положении. Общие требования».

8. Гостехкомиссия России. Руководящий документ «Безопасность информационных технологий».

9. Гостехкомиссия России. Руководящий документ «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации».

10. Гостехкомиссия России. Сборник руководящих документов по защите от несанкционированного доступа.

Предпосылки появления угроз

Приведены две возможные разновидности предпосылок: объективные (количественная или качественная недостаточность элементов системы) и субъективные (деятельность разведорганов иностранных государств, промышленный шпионаж, деятельность уголовных элементов, действия недобросовестных сотрудников системы).

Перечисленные разновидности предпосылок интерпретируются следующим образом:

количественная недостаточность – физическая нехватка одного или нескольких элементов системы, вызывающая нарушения технологического процесса обработки данных и/или перегрузку имеющихся элементов;

качественная недостаточность – несовершенство конструкции (организации) элементов системы, в силу чего могут появляться возможности случайного или преднамеренного негативного воздействия на обрабатываемую или хранимую информацию;

Угроза информационной безопасности в информационно-телекоммуникационной системе – действие или событие, которое может привести к разрушению, искажению или несанкционированному использованию информационных ресурсов, включая хранимую, передаваемую и обрабатываемую информацию, а также программные и аппаратные средства.

При обработке информации средствами вычислительной техники, входящими в состав ИТКС, возникает большое количество угроз как прямого несанкционированного доступа к защищаемой информации, так и косвенного ее получения средствами технической разведки. На протяжении всего периода регулярного использования вычислительной техники для решения практических задач предпринимались попытки классифицировать источники угроз безопасности информации и сами угрозы с целью дальнейшей стандартизации средств и методов, применяемых для защиты информации.

К примеру, существует классификация по 5 группам различных угроз [1 [1] ]:

– хищение носителей;

– запоминание или копирование информации;

– несанкционированное подключение к аппаратуре;

– несанкционированный доступ к ресурсам ЭВМ;

– перехват побочных излучений и наводок.

Также была предпринята попытка классификации угроз по источнику возможной опасности – человек, аппаратура и программа [2 [2] ].

К группе угроз, в реализации которых основную роль играет человек, отнесены:

– хищение носителей;

– чтение информации с экрана;

– чтение информации с распечаток.

К группе, где основным средством выступает аппаратура:

– подключение к устройствам;

– перехват излучений.

К группе, где основное средство – программа, отнесены:

– несанкционированный программный доступ;

– программное дешифрование зашифрованных данных

– программное копирование информации с носителей.

Аналогичная классификация распространена в учебных пособиях по защите информации от несанкционированного доступа [3] [3].

Здесь также выделено три класса угроз:

– природные:

стихийные бедствия;

магнитные бури;

радиоактивное излучение и наводки;

– технические:

отключение или колебания напряжения сети электропитания;

отказы и сбои аппаратно-программных средств;

электромагнитные излучения и наводки;

утечки через канал связи;

– созданные людьми:

непреднамеренные действия;

преднамеренные действия.

В сборнике руководящих документов Гостехкомиссии России по защите информации от несанкционированного доступа введено понятие модели нарушителя в автоматизированной системе обработки данных. В качестве такового рассматривается субъект, имеющий доступ работе со штатными средствами системы.

При этом в зависимости от возможностей, предоставляемых нарушителям штатными средствами, угрозы делятся на четыре уровня:

самый низкий – возможности запуска задач (программ) из фиксированного набора, реализующих заранее предусмотренные функции обработки информации;

промежуточный 1 – дополнительно к предыдущему имеются возможности создания и запуска собственных программ с новыми функции ми обработки информации;

промежуточный 2 – дополнительно к предыдущему предполагается наличие возможностей управления функционированием системы, т. е. воздействия на базовое программное обеспечение системы и на состав и конфигурацию ее оборудования;

самый высокий – определяется всем объемом возможностей лиц, осуществляющих проектирование, реализацию и ремонт технически средств системы, вплоть до включения в состав системы собственных технических средств с новыми функциями обработки информации (в этом случае предполагается, что нарушитель является специалистом высшей квалификации, знает все о системе, в том числе и об используемых средствах защит информации).

По сфере воздействия на информационные ресурсы и системы источник угроз информационной безопасности можно разделить на внешние и внутренние с точки зрения их нахождения вне или внутри системы при ее проектировании и функционировании, а также места приложения возможных способов нарушения информационной безопасности.

Внешние угрозы исходят также от субъектов, не входящих в состав пользователей и обслуживающего персонала системы, разработчиков системы, и не имеющих непосредственного контакта с информационными системами и ресурсами.

Внутренние угрозы исходят от пользователей и обслуживающего персонала системы, разработчиков системы, других субъектов, вовлеченных в информационные процессы и имеющих непосредственный контакт с информационными системами и ресурсами, как допущенных, так и не имеющих доступа к информации.

Некоторыми специалистами [4][4] выделяется еще один вид источников угроз безопасности информации, связанный с ее хищением. В данном случае имеются четыре способа хищения информации

по каналам побочных электромагнитных излучений;

посредством негласного копирования, причем выделено две разновидности копирования: «ручное» (вывод информации на печать или и экран оператором) и «вирусное» (вывод информации с помощью встроенной в СВТ радио закладки);

хищение носителей информации;

хищение персональной ЭВМ.

Интересной представляется классификация угроз безопасности информации по способам их возможного негативного воздействия. Такая классификация поддерживается подавляющим большинством специалистов в области защиты информации и предусматривает подразделение угроз на информационные, программно-математические, физические и организационные.

Информационные угрозы реализуются в виде:

нарушения адресности и своевременности информационного обмена, противозаконного сбора и использования информации;

осуществления несанкционированного доступа к информационным ресурсам и их противоправного использования;

хищения информационных ресурсов из банков и баз данных;

нарушения технологии обработки информации.

Программно-математические угрозы реализуются в виде:

внедрения в аппаратные и программные изделия компонентов, реализующих функции, не описанные в документации на эти изделия;

разработки и распространения программ, нарушающих нормальное функционирование информационных систем или их систем защиты информации.

Физические угрозы реализуются в виде:

уничтожения, повреждения, радиоэлектронного подавления разрушения средств и систем обработки информации, телекоммуникации и связи;

уничтожения, повреждения, разрушения или хищения машинных и других носителей информации;

хищения программных или аппаратных ключей и средств криптографической защиты информации;

перехвата информации в технических каналах связи и телекоммуникационных системах;

внедрения электронных устройств перехвата информации в технические средства связи и телекоммуникационные системы, а так же в служебные помещения;

перехвата, дешифрования и навязывания ложной информации в сетях передачи данных и линиях связи;

воздействия на парольно-ключевые системы защиты средств обработки и передачи информации.

Организационные угрозы реализуются в виде:

невыполнения требований законодательства в информационной сфере;

противоправной закупки несовершенных или устаревших информационных технологий, средств информатизации, телекоммуникации и связи.

Анализ указанных и других классификаций явно свидетельствует о многообразии имеющихся точек зрения по данной проблеме. При этом в качестве критериев деления множества угроз на классы используются виды порождаемых опасностей, степень злого умысла, источники проявления угроз и т. д.

Исходя из столь обширного списка угроз, реализуемых по каналам несанкционированного доступа к информации, возникающих в результате выявления нарушителем существующих или внесения новых уязвимостей, в ИТКС жизненно необходимо организовать эффективную защиту информации ограниченного доступа. С этой целью следует рассмотреть весь спектр мер и подходов, которые можно применить для повышения безопасности и доступности ее информационных ресурсов. Вопросы обеспечения информационной безопасности являются комплексными, их решение требует объединения усилий органов государственной власти, силовых структур, научных учреждений, операторских компаний и включает проведение согласованных мероприятий по предупреждению и анализу инцидентов, распространению лучшего опыта работы.

излучений технических систем) и космическую разведку (использование космических кораблей и искусственных спутников Земли для наблюдения за территорией, ее фотографирования, регистрации радиосигналов и получения полезной информации любыми доступными способами);

промышленный шпионаж – негласная деятельность организации (ее представителей) по добыванию информации, специально охраняемой от несанкционированной ее утечки или хищения, с целью создания себя благоприятных условий и получения максимальных выгод (недобросовестная конкуренция);

злоумышленные действия уголовных элементов – хищение информации или компьютерных программ в целях наживы;

действия недобросовестных, сотрудников – хищение (копирование или уничтожение информационных массивов и/или программ по эгоистическим или корыстным мотивам, а также в результате несоблюдения установленного порядка работы с информацией).

Источники угроз.

Под источником угроз понимается непосредственный ее генератор или носитель. Таким источником могут быть любые технические средства, модели (алгоритмы), программы, внешняя среда.

Опираясь на приведенную системную классификацию угроз безопасности информации, можно определить полное множество угроз, потенциально возможных в современных ИТКС. При этом должны учитываться не только все известные (ранее проявлявшиеся) угрозы, но и такие угрозы, которые ранее не проявлялись или потенциально могут возникнуть при нынешних концепциях построения ИТКС.

Наиболее опасными угрозами информационной безопасности ИТКС являются нарушение работоспособности системы, нарушение конфиденциальности сведений, циркулирующих в ней и нарушение целостности информационных, программных и иных ресурсов. Данные угрозы при недостаточном уровне защищенности реализуются через уязвимости, посредством которых нарушитель получает возможность воздействовать на данную ИТКС.

В качестве нарушителя информационной безопасности могут выступать физические лица и/или структуры, действия которых могут привести к ухудшению качества процессов функционирования ИТКС.

Воздействия нарушителя на систему могут осуществляться на технологическом и эксплуатационном этапах жизненного цикла ИТКС.

На технологическом этапе нарушителями могут быть научные и инженерно-технические работники, участвующие в процессе проектирования, разработки, установки и настройки программно-аппаратного обеспечения системы.

Нарушитель на эксплуатационном этапе может осуществлять воздействие:

– на центр управления системой;

– узлы (коммутаторы, маршрутизаторы, шлюзы, цифровые автоматизированные телефонные станции и др.);

– каналы связи системы и сообщения (пакеты, кадры, ячейки и др.), содержащие информацию пользователей или информацию управления.

Воздействия могут носить как преднамеренный, так и непреднамеренный характер и могут осуществляться:

– по внешним линиям связи;

– по внутренним линиям связи;

– с рабочих мест систем управления;

– по не декларируемым каналам доступа.

При этом могут использоваться как штатные средства системы, так и специальные средства.

Реализация угроз возможна через уязвимости, которые могут быть использованы нарушителем для преодоления системы защиты и, как следствие, приводящие к нанесению определенного ущерба пользователю, оператору системы или государству. Количество и специфика уязвимых мест зависит от вида решаемых задач, характера обрабатываемой информации, аппаратно-программных особенностей ИТКС, наличия средств защиты и их характеристик. Любая успешная атака нарушителя, направленная на реализацию угрозы, непременно будет опираться на полученные нарушителем знания об особенностях построения и уязвимостях данной ИТКС.

Причинами появления уязвимостей могут быть:

– нарушение технологии процесса передачи информации пользователя;

– нарушение технологии системы управления ИТКС;

– внедрение в объекты ИТКС компонентов, реализующих не декларированные функции;

– внедрение в объекты ИТКС программ, нарушающих их нормальное функционирование;

– необеспеченность реализованными механизмами защиты заданных требований к процессу обеспечения информационной безопасности, либо предъявление к механизмам защиты непродуманного набора требований, делающие ИТКС незащищенной;

– внесение нарушителем преднамеренных уязвимостей:

при разработке алгоритмов и программ ИТКС;

при разработке защищенных процедур, протоколов и интерфейсов взаимодействия пользователей, операторов и администраторов с аппаратно-программным обеспечением ИТКС;

при реализации проектных решений по созданию системы обеспечения информационной безопасности ИТКС, делающих не эффективными реализованные в ней механизмы защиты;

– неадекватное реагирование системы обеспечения информационной безопасности ИТКС на информационные воздействия нарушителя в процессе эксплуатации ИТКС;

– использование не сертифицированных в соответствии с требованиями безопасности отечественных и зарубежных информационных технологий, средств информатизации и связи, а также средств защиты информации и контроля их эффективности и т. д.

Воздействия нарушителя на систему можно представить в виде:

– воздействий, связанных с внесением уязвимостей в систему;

– воздействий, направленных на выявление уязвимостей;

– воздействий, направленных на активизацию (использование) имеющихся уязвимостей.

Внесение уязвимостей возможно на технологическом этапе жизненного цикла системы на следующих стадиях:

1. Проектирования с осуществлением выбора алгоритмов и технологий хранения, обработки и передачи информации, затрудняющих или исключающих реализацию требований ИБ;

2. Выбора средств защиты, не обеспечивающих требования информационной безопасности.

На эксплуатационном этапе жизненного цикла нарушитель может внести уязвимости, связанные:

1. С ошибками настройки и использованием программно-аппаратного обеспечения;

2. С ошибками разработки и реализации политики безопасности;

3. С ошибками в реализации организационных методов защиты;

4. С преднамеренным внедрением в компоненты аппаратно-програм­много обеспечения «люков», «закладок» и «вирусов» и др.

Выявление уязвимостей на технологическом и эксплуатационном этапах жизненного цикла системы осуществляется нарушителем путём сбора сведений, позволяющих ему осуществлять несанкционированные действия, направленные на ухудшение характеристик информационной безопасности.

Непосредственная активизация (использование) выявленных уязвимостей осуществляется нарушителем на этапе эксплуатации путем:

1. Использования специального оборудования во внешних или внутренних каналах связи и осуществления с его помощью:

– нарушения целостности передаваемых сообщений, содержащих информацию управления или информацию пользователей;

– нарушения конфиденциальности информации управления и параметров передачи информации пользователей;

– формирования команд активизации и использования функций «закладок» и «вирусов», внедрённых в информационную сферу;

– формирования информационного воздействия с целью получения аутентификационных параметров, обеспечивающих доступ к информационной сфере объектов и сетей связи;

– несанкционированной модификации программного обеспечения объектов и сетей связи и нарушения их работоспособности.

2. Установки специального оборудования в каналы связи ИТКС для использования информационных «люков» или не декларированных возможностей.

3. Использования оконечного оборудования пользователей ИТКС для получения несанкционированного доступа к информационной сфере системы.

4. Использования радиоканалов для активизации «закладок» и «вирусов».

5. Использования рабочих мест обслуживающего персонала.

От наличия уязвимостей зависит возможность нарушения нормальной работы ИТКС, т.к с их помощью реализуются угрозы информационной безопасности системы.

В свою очередь, реализация угроз происходит через каналы несанкционированного доступа к информации.

Все возможные каналы несанкционированного получения информации (КНПИ) можно классифицировать по двум критериям:

– необходимости доступа (физического или логического) к элементам системы для реализации угрозы;

– зависимости появления КНПИ от состояния ИТКС.

По первому критерию КНПИ могут быть разделены на:

– не требующие доступа, т. е. позволяющие получать необходимую информацию дистанционно (например, путем визуального наблюдения через окна помещений)

– требующие доступа в помещения.

В свою очередь, КНПИ, воспользоваться которыми можно только получив доступ в помещения, делятся на:

– не оставляющие следы в (например, визуальный просмотр изображений на экранах мониторов или документов на бумажных носителях);

– на КНПИ, использование которых оставляет те или иные следы (например, хищение документов или машинных носителей информации).

 

По второму критерию КНПИ делятся:

– на потенциально существующие независимо от состояния ИТКС (например, похищать носители информации можно независимо от того, в рабочем состоянии находятся элементы ИТКС или нет);

– существующие только в рабочем состоянии ИТКС (например, побочные электромагнитные излучения и наводки).

 

3.6. Угрозы безопасности информации
и их классификация

Угроза информационной безопасности в информационно-телекоммуни­ка­ционной системе – действие или событие, которое может привести к разрушению, искажению или несанкционированному использованию информационных ресурсов, включая хранимую, передаваемую и обрабатываемую информацию, а также программные и аппаратные средства.

При обработке информации средствами вычислительной техники, входящими в состав ИТКС, возникает большое количество угроз как прямого несанкционированного доступа к защищаемой информации, так и косвенного ее получения средствами технической разведки. На протяжении всего периода регулярного использования вычислительной техники для решения практических задач предпринимались попытки классифицировать источники угроз безопасности информации и сами угрозы с целью дальнейшей стандартизации средств и методов, применяемых для защиты информации.

На рис. 3.2 показаны внутренние угрозы.

 

Рис. 3.2.Внутренние угрозы