Защита информации в экономических информационных системах

     - несанкционированного доступа к  конфиденциальной информации различными  способами.

     Под каналом утечки информации понимается физический путь от источника конфиденциальной информации к злоумышленнику, по которому возможна утечка или несанкционированное  получение охраняемых сведений. Для  возникновения (образования, установления) канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также  соответствующие средства восприятия и фиксации информации на стороне  злоумышленника.

     Применительно к практике с учетом физической природы  образования каналы утечки информации можно разделить на следующие  группы:

     - визуально-оптические;

     - акустические (включая и акустико-преобразовательные);

     - электромагнитные (включая магнитные  и электрические);

     -материально-вещественные (бумага, фото, магнитные носители, производственные  отходы различного вида – твердые,  жидкие, газообразные).

     Причины утечки связаны, как правило, с несовершенством  норм по сохранению информации, а также  нарушением этих норм (в том числе  и несовершенных), отступлением от правил обращения с соответствующими документами, техническими средствами, образцами  продукции и другими материалами, содержащими конфиденциальную информацию.

     К факторам утечки могут, например, относиться:

     - недостаточное знание работниками  предприятия правил защиты информации  и непонимание (или недопонимание)  необходимости их тщательного  соблюдения;

     - использование неаттестованных  технических средств обработки

     конфиденциальной  информации;

     - слабый контроль за соблюдением  правил защиты информации

     правовыми, организационными и инженерно-техническими мерами.

     Несанкционированный доступ (НСД).

     Это наиболее распространенный вид информационных угроз, который заключается в  получении пользователем доступа  к объекту, на который у него нет  разрешения в соответствии с принятой в организации политикой безопасности. Обычно самая главная проблема определить, кто и к каким наборам данных должен иметь доступ, а кто - нет.

     По  характеру, воздействия НСД является активным воздействием, использующим ошибки системы. НСД обращается обычно непосредственно к требуемому набору данных, либо воздействует на информацию о санкционированном доступе  с целью легализации НСД. НСД  может быть подвержен любой объект системы. НСД может быть осуществлен  как стандартными, так и специально разработанными программными средствами к объектам.

     Есть  и достаточно примитивные пути несанкционированного доступа:

     - хищение носителей информации  и документальных отходов;

     - инициативное сотрудничество;

     - склонение к сотрудничеству со  стороны взломщика;

     - выпытывание;

     - подслушивание;

     - наблюдение и другие пути.

     Любые способы утечки конфиденциальной информации могут привести к значительному  материальному и моральному ущербу как для организации, где функционирует  ИС, так и для ее пользователей.

     Менеджерам  следует помнить, что довольно большая  часть причин и условий, создающих  предпосылки и возможность неправомерного овладения конфиденциальной информацией, возникает из-за элементарных недоработок  руководителей организаций и  их сотрудников. Например, к причинам и условиям, создающим предпосылки  для утечки коммерческих секретов, могут относиться:

     - недостаточное знание работниками  организации правил защиты

     конфиденциальной  информации и непонимание необходимости  их

     тщательного соблюдения;

     - использование неаттестованных  технических средств обработки

     конфиденциальной  информации;

     - слабый контроль за соблюдением  правил защиты информации

     правовыми организационными и инженерно- техническими мерами и др.

     Уничтожение компьютерной информации – это стирание ее в памяти ЭВМ, удаление с физических носителей, а также несанкционированные изменения составляющих ее данных, кардинально меняющие содержание (например, введение ложной информации, добавление, изменение, удаление записей). Одновременный перевод информации на другой машинный носитель не считается в контексте уголовного закона уничтожением компьютерной информации лишь в том случае, если в результате этих действий доступ правомерных пользователей к информации не оказался существенно затруднен либо исключен.

     Имеющаяся у пользователя возможность восстановить уничтоженную

     информацию  с помощью средств программного обеспечения или получить данную информацию от другого пользователя не освобождает виновного от ответственности.

     Уничтожением  информации не является переименование файла, где она содержится, а также  само по себе автоматическое "вытеснение" старых версий файлов последними по времени.

     Блокирование  компьютерной информации – это искусственное затруднение доступа пользователей к компьютерной информации, не связанное с ее уничтожением. Другими словами, это совершение с информацией действий, результатом которых является невозможность получения или использование ее по назначению при полной сохранности самой информации.

     Компрометация информации, как правило, реализуется посредством

     внесения  несанкционированных изменений  в базы данных, в результате чего ее потребитель вынужден либо отказаться от нее, либо предпринимать дополнительные усилия для выявления изменений  и восстановления истинных сведений.

     В случае использования скомпрометированной  информации потребитель подвергается опасности принятия неверных решений  со всеми вытекающими последствиями.

     Модификация компьютерной информации – это внесение в нее любых изменений, кроме связанных с адаптацией программы для ЭВМ или базы данных.

     Адаптация программы для ЭВМ или базы данных – «это внесение изменений, осуществляемых исключительно в  целях обеспечения функционирования программы для ЭВМ или базы данных на конкретных технических средствах  пользователя или под управлением  конкретных программ пользователя» (ч.1 ст.1 Закона РФ от 23 сентября 1992 года "О правовой охране программ для электронных вычислительных машин и баз данных"). Другими словами это означает изменение ее содержания по сравнению с той информацией, которая первоначально (до совершения деяния) была в распоряжении собственника или законного пользователя.

     Копирование компьютерной информации – изготовление и устойчивое запечатление второго и последующих экземпляров базы данных, файлов в любой материальной форме, а также их запись на машинный носитель, в память ЭВМ.

     Отказ в обслуживании представляет собой весьма существенную и распространенную угрозу, источником которой является сама АИС. Подобный отказ особенно опасен в ситуациях, когда задержка с предоставлением ресурсов абоненту может привести к тяжелым для него последствиям. Так, отсутствие у пользователя данных, необходимых для принятия решения, в течение периода, когда это решение еще может быть эффективно реализовано, может стать причиной его нерациональных действий.³

     Каждая  из угроз по разному воздействует на информационные системы.

     Способы воздействия угроз на информационные объекты подразделяются на:

     а) информационные;

     б) программно-математические;

     в) физические;

     г) радиоэлектронные;

     д) организационно-правовые.

     К информационным способам относятся:

     – нарушение адресности и своевременности  информационного обмена,

     противозаконный сбор и использование информации;

     – несанкционированный доступ к информационным ресурсам;

     – манипулирование информацией (дезинформация, сокрытие или сжатие

     информации);

     – нарушение технологии обработки  информации.

     Программно-математические способы включают:

     – внедрение компьютерных вирусов;

     – установка программных и аппаратных закладных устройств;

     – уничтожение или модификацию  данных в автоматизированных

     информационных  системах.

     Физические  способы включают:

     – уничтожение или разрушение средств  обработки информации и связи;

     – уничтожение, разрушение или хищение  машинных или других носителей

     информации;

     – хищение программных или аппаратных ключей и средств криптографической  защиты информации;

     – воздействие на персонал;

     – перехват, дешифровка и навязывание  ложной информации в сетях передачи

     данных  и линиях связи;

     – воздействие на парольно-ключевые системы;

     Радиоэлектронными способами являются:

     – перехват информации в технических  каналах ее возможной утечки;

     – внедрение электронных устройств  перехвата информации в технические  средства и помещения;

     – перехват, дешифровка и навязывание  ложной информации в сетях передачи данных и линиях связи;

     – радиоэлектронное подавление линий  связи и систем управления.

     Организационно-правовые способы включают:

     – невыполнение требований законодательства о задержке в принятии

     необходимых нормативно-правовых положений в  информационной сфере;

     – неправомерное ограничение доступа  к документам, содержащим важную для  граждан и организаций информацию.

     Суть  подобных угроз сводится, как правило, к нанесению того или иного  ущерба предприятию.

     Проявления  возможного ущерба могут быть самыми различными:

     - моральный и материальный ущерб  деловой репутации организации;

     - моральный, физический или материальный  ущерб, связанный с

     разглашением  персональных данных отдельных лиц;

     - материальный (финансовый) ущерб от  разглашения защищаемой

     (конфиденциальной) информации;

     - материальный (финансовый) ущерб от  необходимости восстановления нарушенных  защищаемых информационных ресурсов;

     - материальный ущерб (потери) от  невозможности выполнения взятых  на себя обязательств перед  третьей стороной;

     - моральный и материальный ущерб  от дезорганизации в работе  всего

     предприятия.

     Непосредственный  вред от реализованной угрозы, называется воздействием угрозы.

     Идентификация угроз предполагает рассмотрение воздействий  и последствий от реализации угроз. Обычно воздействие угроз приводит к раскрытию, модификации, разрушению информации или отказу в информационном обслуживании. Более значительные долговременные последствия реализации угрозы приводят к потере бизнеса, нарушению тайны, гражданских прав, потере адекватности данных, потере человеческой жизни  и иным долговременным эффектам.