Информационная безопасность и уровни её обеспечения. Лекция 1

1.

Лекция 1.
Информационная безопасность и уровни ее
обеспечения
1

2.

Общие понятия о защищаемой информации
Информация
– это сведения об окружающем мире и протекающих в нем процессах, воспринимаемые
человеком или специальным устройством(«Словарь русского языка» С.И. Ожегов )
– любые данные, представленные в электронной форме, написанные на бумаге, высказанные
на совещании или находящиеся на любом другом носителе, используемые финансовым
учреждением для принятия решений, перемещения денежных средств, установления ставок,
предоставления ссуд, обработки операций и т.п., включая компоненты программного
обеспечения системы обработки (Международный стандарт ISO/IEC 2382:2015
Информационные технологии (ИТ). Словарь)
– сведения (сообщения, данные) независимо от формы их представления. (ФЗ «Об
информации, информационных технологиях и о защите информации» от 27.07.2006 N 149ФЗ)

3.

Обладатели и носители информации
Обладатель информации - лицо, самостоятельно создавшее информацию либо
получившее на основании закона или договора право разрешать или ограничивать доступ к
информации, определяемой по каким-либо признакам.
Носители информации – материальные объекты, в том числе физические поля, в
которых сведения ограниченного доступа, находят свое отображение в виде символов,
образов, сигналов, технических решений и процессов.
Носители защищаемой информации:
документы;
изделия (предметы);
вещества и материалы;
электромагнитные, тепловые, радиационные и другие излучения;
гидроакустические, сейсмические и другие физические поля, представляющие
особые виды материи;
сам объект с его видовыми характеристиками и т.п.

4.

Виды информации
К общедоступной информации относятся общеизвестные сведения
и иная информация, доступ к которой не ограничен
информация
Примером может служить информация о состоянии окружающей
среды, о деятельности органов государственной власти и
информация
органов местного самоуправления, документы накапливаемые в открытых фондах библиотек и архивов. Так же в эту
категорию можно отнести нормативные правовые акты, затрагивающие права, свободы и обязанности человека и
гражданина, правовое положение ограниченного
организаций
и полномочия
органов местного самоуправления.
ограниченного
доступа государственных органов,
общедоступная
доступа
общедоступная
Государственной тайна – защищаемые государством сведения в области его военной, внешнеполитической,
экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение
которых можетгосударственная
нанести
ущерб безопасности
РФ.
тайна
конфиденциальная
государственная
тайна
конфиденциальная
Конфиденциальная информация – документированная информация, правовой режим которой установлен
специальными нормами действующего законодательства в области государственной, коммерческой, промышленной и
другой общественной деятельности.
коммерческая
служебная
персональные
профессиональная
коммерческая
служебная
персональные
профессиональная
тайна
тайна
данные
тайна
тайна
тайна
данные
тайна

5.

Общие понятия о защищаемой информации
допуск к информации – процедура оформления права граждан на доступ к информации
определенного вида, а предприятий, учреждений и организаций – на проведение работ с
использованием такой информации;
доступ к информации – санкционированное полномочным должностным лицом
ознакомление персонала предприятия и иных лиц с информацией определенного вида и ее
носителями.

6.

Информационная безопасность и защита информации
Информационная безопасность – это защищенность информации и поддерживающей ее
инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного
характера, которые могут нанести ущерб владельцам или пользователям информации.
Защита информации (ГОСТ 350922-96) – это деятельность, направленная на предотвращение
утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на
защищаемую информацию.
Защита информации согласно закону «Об информации, информационных технологиях и о защите
информации» представляет собой принятие правовых, организационных и технических мер,
направленных на:
обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования,
блокирования, копирования, предоставления, распространения, а также от иных неправомерных
действий в отношении такой информации;
соблюдение конфиденциальности информации ограниченного доступа;
реализацию права на доступ к информации.

7.

Основные составляющие информационной безопасности
Конфиденциальность – гарантия доступности конкретной
информации только тому кругу лиц, для которого она предназначена.
Доступность – это гарантия получения требуемой информации или
информационной услуги пользователем за определенное время.
Целостность – гарантия того, что информация сейчас существует в
ее исходном виде, то есть при ее хранении или передаче не было
произведено несанкционированных изменений.

8.

Информационные преступления и информационная безопасность
Согласно статистическим данным, за последний год число преступлений в сфере
информационно-телекоммуникационных технологий увеличилось с 65 949 до 90
587. Их доля от числа всех зарегистрированных в России преступных деяний
составляет 4,4% - это почти каждое 20 преступление.
По данным Генпрокуратуры, самыми популярными киберпреступлениями являются неправомерный
доступ к компьютерной информации (ст. 272 УК РФ), распространение вредоносных компьютерных
программ (ст. 273 УК РФ), а также мошеннические действия, совершенные с использованием
электронных средств платежа (ст. 159.3 УК РФ).

9.

Классификация угроз безопасности информации
угроза безопасности информации –
совокупность условий и факторов, создающих потенциальную или реально
существующую опасность, в результате которой возможны утечка информации,
неправомерное модифицирование (искажение, подмена), уничтожение информации
или неправомерное блокирование доступа к ней
угрозы
конфиденциальности
информации
угрозы целостности
информации
утечка информации
неправомерное воздействие на информацию
угрозы доступности
информации

10.

Формы утечки информации
утечка информации
разглашение информации
(сведений)
несанкционированный доступ к
информации (НСД)
перехват информации (утечка
по техническим каналам)
хищение носителя и нформации
преднамеренное разглашение
непреднамеренное разглашение
физический доступ
программно-аппаратный доступ
программный доступ
перехват информации, обрабатываемой ТС
перехват разговоров, ведущихся в помещениях
перехват информации, передаваемой
по каналам связи

11.

Угроза (действие) - это возможная опасность (потенциальная или реально существующая) совершения
какого-либо деяния (действия или бездействия), направленного против объекта защиты (информационных
ресурсов), наносящего ущерб собственнику, владельцу или пользователю, проявляющегося в опасности
искажения и потери информации.
Фактор (уязвимость) - это присущие объекту информатизации причины, приводящие к нарушению
безопасности информации на конкретном объекте и обусловленные недостатками процесса
функционирования объекта информатизации, свойствами архитектуры автоматизированной системы,
протоколами обмена и интерфейсами, применяемыми программным обеспечением и аппаратной платформой,
условиями эксплуатации.
Последствия (атака) - это возможные последствия реализации угрозы (возможные действия) при
взаимодействии источника угрозы через имеющиеся факторы (уязвимости).

12.

Модель угроз и модель нарушителя безопасности информации
Модель угроз безопасности информации - физическое, математическое,
описательное представление свойств или характеристик угроз безопасности
информации (ГОСТ Р 50922-2006. Защита информации. Основные термины и
определения).
Нарушитель – Физическое лицо или логический объект, случайно или
преднамеренно совершивший действие, следствием которого является нарушение
информационной безопасности организации. (ГОСТ Р 53114-2008)
Модель нарушителя – совокупность предположений о возможностях нарушителя,
которые он может использовать для разработки и проведения атак, а также об
ограничениях на эти возможности.
Методика определения актуальных угроз безопасности персональных данных при
их обработке в информационных системах персональных данных, утвержденная
заместителем директора Федеральной службы по техническому и экспортному
контролю Российской Федерации (ФСТЭК России) 14 февраля 2008 г;
Базовая модель угроз безопасности персональных данных при их обработке в
информационных системах персональных данных, утвержденная заместителем
директора ФСТЭК России 15 февраля 2008 г;
Методические рекомендации по обеспечению с помощью криптосредств
безопасности персональных данных при их обработке в информационных системах
персональных данных с использованием средств автоматизации, утверждены
руководством 8 Центра ФСБ России 21 февраля 2008 года №149/54-144.

13.

Комплексный анализ угроз