Класифікація загроз безпеці та вразливостей інформації в комп’ютерних системах.
Під загрозою безпеки розуміють потенційні дії або події, які можуть прямо чи опосередковано принести втрати – привести до розладу, спотворення чи несанкціонованого використання ресурсів мережі, включаючи інформацію, що зберігається, передається або обробляється, а також програмні і апаратні засоби.
Не існує єдиної загальноприйнятої класифікації загроз, хоча існує багато її варіантів. Приведемо перелік тем подібних класифікацій:
- по цілі реалізації;
- по принципу дії на систему;
- по характеру впливу на систему;
- по причині появи помилки захисту;
- по способу дії атаки на об’єкт;
- по об’єкту атаки;
- по використовуваних засобах атаки;
- по стану об’єкту атаки.
Загрози прийнято ділити на випадкові (або ненавмисні) і навмисні. Джерелом перших можуть бути помилки в забезпеченні, виходи з ладу апаратних засобів, неправильні дії користувачів або адміністрації локальної обчислювальної мережі і, так далі. Навмисні загрози, на відміну від випадкових, прагнуть нанести шкоду користувачам (абонентам) локальної обчислювальної мережі і, в свою чергу, діляться на активні і пасивні. Пасивні загрози, як правило, спрямовані на несанкціоноване використання інформаційних ресурсів локальної обчислювальної мережі, не впливаючи при цьому на її функціонування. Нормальне загрозою є, наприклад, спроба отримання інформації, що циркулює в каналах передачі даної локальної обчислювальної мережі, шляхом підслуховування. Активні загрози прагнуть порушити нормальне функціонування локальної обчислювальної мережі шляхом цілеспрямованого впливу на її апаратні, програмні і інформаційні ресурси. До активних загроз відносяться, наприклад, порушення або радіоелектронне заглушення ліній зв’язку локальної обчислювальної мережі, вивід з ладу ЕОМ або її операційної системи, спотворення відомостей в користувацьких базах даних або системної інформації локальної обчислювальної мережі і т.д. Джерелами активних загроз можуть бути безпосередні дії зловмисників, програмні віруси і, так далі.
До основних загроз безпеки інформації відносяться:
- розкриття конфіденційної інформації:
- компрометація інформації;
- несанкціоноване використання ресурсів локальної обчислювальної мережі;
- помилкове використання її ресурсів;
- несанкціонований обмін інформацією;
- відмова від інформації;
- відмова в обслуговуванні.
Засобами реалізації загрози розкриття конфіденційної інформації може бути несанкціонований доступ до баз даних, прослуховування каналів локальної обчислювальної мережі і, так далі. В кожному випадку, отримання інформації, що є власністю деякої особи (чи групи), наносить її власникам суттєву шкоду.
Компрометація інформації, як правило, здійснюється шляхом внесення несанкціонованих змін в бази даних, в результаті чого її користувач змушений або відмовитись від неї або витратити додаткові зусилля для виявлення змін і відновлення істинних відомостей. У випадку використання скомпрометованої інформації користувач може прийняти невірні рішення з усіма наслідками, що звідси випливають.
Несанкціоноване використання ресурсів локальної обчислювальної мережі, з однієї сторони, є засобом розкриття або компрометації інформації, а з іншої – має самостійне значення, оскільки, навіть не торкаючись користувацької або системної інформації, може нанести певні збитки абонентам або адміністрації локальної обчислювальної мережі. Обсяги збитків можуть змінюватися в широких межах – від скорочення поступлення фінансових ресурсів до повного виходу мережі з ладу.
Помилково санкціоноване використання ресурсів локальної обчислювальної мережі теж може призвести до знищення, розкриття або компрометації вказаних ресурсів. Така загроза найчастіше всього є наслідком помилок програмного забезпечення локальної обчислювальної мережі.
Несанкціонований обмін інформацією між абонентами локальної обчислювальної мережі може призвести до отримання одним із них відомостей, доступ до яких йому заборонений, що по своїх наслідках рівно сильно розкриттю інформації.
Відмова від інформації полягає в невизнанні адресатом чи відправником цієї інформації, фактів її отримання або відправки. Це, зокрема, може послужити аргументованим приводом до відмови однією з сторін від раніше підтриманої угоди (фінансової, торгової, дипломатичної тощо) «технічним шляхом», формально не відмовившись від неї, тим самим може нанести іншій стороні значні збитки.
Відмова в обслуговуванні – це дуже суттєва і достатньо розповсюджена загроза, джерелом якої є сама локальна комп’ютерна мережа. Подібна відмова особливо небезпечна в ситуаціях, коли затримка з наданням ресурсів мережі абоненту може привести до тяжких для нього наслідків. Наприклад, відсутність у абонента даних, необхідних для прийняття рішень може бути причиною його нераціональних або неоптимальних дій.
3. Правові основи захисту інформації. Інтелектуальна власність, авторське право та комерційна таємниця.
Проблеми правового захисту комп’ютерної інформації зацікавили юристів провідних зарубіжних країн у 70-80-ті рр., коли почався розквіт комп’ютерної техніки. Поява і розповсюдження в 70-ті рр. компактних і порівняно недорогих персональних комп’ютерів створили можливість підключення до потужних інформаційних потоків необмеженого кола осіб, призвели до комп’ютеризації господарської і управлінської діяльності, використання комп’ютерної техніки в космічних дослідженнях, обороні, атомній енергетиці та інших сферах життя суспільства, де порушення роботи такої техніки здатне викликати аварії і навіть катастрофи з людськими жертвами і величезними економічними втратами. Крім того, поява комп’ютерних банків з інформацією персонального характеру робить несанкціонований доступ до неї вельми небезпечним для прав і свобод людини.
Вперше у вітчизняній правовій практиці інформація визначається як об’єкт захисту в статті 2 Закону Україні «Про захист інформації в автоматизованих системах», прийнятої Державною Думою 5 липня 1994 р.. Законом передбачається, що об’єктами захисту є інформація, що обробляється в автоматизованій системі, права власників цієї інформації та власників АС, а також права користувача.
З аналізу нормативно-правових актів України бачимо, що державна політика у сфері захисту інформації визначається пріоритетністю національних інтересів, має на меті унеможливлення реалізації загроз для інформації та здійснюється шляхом виконання положень, зазначених у законодавстві та положень Концепції технічного захисту інформації, а також програм розвитку захисту інформації та окремих проектів.
Основними напрямками державної політики у сфері захисту інформації є:
- нормативно-правове забезпечення;
- удосконалення чинних та розробка і прийняття нових нормативних документів з питань технічного захисту інформації;
- організаційне забезпечення;
- науково-технічна та виробнича діяльність.
Серед першочергових заходів щодо реалізації державної політики у сфері захисту інформації визначаються наступні:
- створення правових засад реалізації державної політики у сфері захисту інформації, визначення послідовності та порядку розробки відповідних нормативно-правових актів;
- визначення перспективних напрямків розробки нормативних документів з питань захисту інформації на основі аналізу стану відповідної вітчизняної та зарубіжної нормативної бази, розробки зазначених нормативних документів;
- визначення номенклатури вітчизняних засобів обчислювальної техніки та базового програмного забезпечення, оргтехніки, обладнання мереж зв’язку, призначених для обробки інформації з обмеженим доступом інших засобів забезпечення технічного захисту інформації в органах державної влади та органах місцевого самоврядування, Національній академії наук, Збройних Силах, інших військових формуваннях, органах внутрішніх справ;
- розвиток системи сертифікації вітчизняних та закордонних засобів забезпечення технічного захисту інформації;
- визначення реальних потреб системи технічного захисту інформації у фахівцях, розвиток та вдосконалення системи підготовки, перепідготовки та підвищення кваліфікації фахівців з питань технічного захисту інформації.
Аналіз законодавства, яке регулює суспільні інформаційні відносини в Україні, дозволяє стверджувати, що наша держава, поряд із заходами стимулювання розвитку інфраструктури на основі новітніх технологій, вживає необхідних заходів, спрямованих проти комп’ютерної злочинності. Прикладом цьому можуть служити Указ Президента від 31 липня 2000 року “Про заходи щодо розвитку національної складової глобальної інформаційної мережі Інтернет та забезпечення широкого доступу до цієї мережі в Україні”, а також Розділ 16 - "Злочини у сфері використання електронно-обчислювальних машин (комп’ютерів), систем та комп’ютерних мереж" Кримінального кодексу України.
Інтелектуальна власність (скорочено, англ. intellectual property) — результат інтелектуальної, творчої діяльності однієї людини (автора, виконавця, винахідника та інш.) або кількох осіб.
Одним з об'єктів інтелектуальної власності є авторські права. Авторське право (скор.: АП) — набір виключних прав, які дозволяють авторам літературних, мистецьких та наукових творів отримати соціальні блага від результатів своєї творчої діяльності. Нині АП поширюється фактично на будь-які результати творчої діяльності, включаючи комп'ютерні програми, бази даних, фільми, фотографії і скульптури, архітектурні проекти, рекламні проспекти, карти і технічні креслення.
Статтею 420 Цивільного кодексу України визначено, що комерційна таємниця є одним з об'єктів інтелектуальної власності. Відповідно майнові права інтелектуальної власності на комерційну таємницю належать особі, яка правомірно визнала інформацію комерційною таємницею, якщо інше не встановлено договором.
Комерційна таємниця — інформація, яка є секретною в тому розумінні, що вона в цілому чи в певній формі та сукупності її складових є невідомою та не є легкодоступною для осіб, які звичайно мають справу з видом інформації, до якого вона належить, у зв'язку з цим має комерційну цінність та була предметом адекватних існуючим обставинам заходів щодо збереження її секретності, вжитих особою, яка законно контролює цю інформацію.
Комерційною таємницею можуть бути відомості технічного, організаційного, комерційного, виробничого та іншого характеру, за винятком тих, які відповідно до закону не можуть бути віднесені до комерційної таємниці.