Закон України «Про інформацію» закріпив право громадян України на інформацію, заклав правові основи інформаційної діяльності. Серед найважливіших досягнень, що закріплюються законом, слід назвати визначення поняття інформації (ст. 1) та права власності на інформацію (ст. 38), встановлення основних принципів інформаційних відносин (ст. 5) та визначення державної інформаційної політики (ст. 6), одним з головних напрямків якої є створення загальної системи захисту інформації [2].
В Україні досить інтенсивно і вже тривалий час ведуться дослідження щодо захисту інформації в автоматизованих системах (АС). Накопичений певний досвід свідчить, що весь період досить чітко розподіляється на три етапи, кожний з яких характеризується своїми особливостями в принципових підходах до захисту інформації в АС.
Перший етап (1975-1985 рр.) характеризується спрощеним підходом до самої проблеми, породженим переконанням, що вже сам факт представлення інформації в ЕОМ в закодованому вигляді і обробки її за специфічними алгоритмами є серйозним засобом захисту, а тому досить включити до складу АС деякі технічні і програмні засоби та здійснити ряд організаційних заходів, щоб цього було достатньо для забезпечення захисту інформації. Проте надії ці не виправдались і фахівці прийшли до висновку, що для захисту інформації потрібна певна організована система із керівним елементом під назвою ядро захисту (або ядро безпеки). Існувала впевненість, що система захисту з ядром буде забезпечувати надійний захист функціонування АС, хоч у той же час істотно підвищилася увага до організаційних заходів.
Викладений підхід був характерний і для другого етапу (1985-1995 рр.). Однак порушення безпеки інформації неухильно зростали, що викликало серйозну стурбованість, оскільки вони могли стати серйозною перешкодою на шляху впровадження сучасних інформаційних систем. Посилені пошуки виходу з такої майже кризової ситуації привели до висновку, що захист інформації в сучасних АС є неразова акція, а безперервний процес, цілеспрямовано здійснюваний під час створення і функціонування систем з комплексним застосуванням всіх засобів, методів і заходів. Формування цього висновку знаменувало початок третього (сучасного) етапу в розвитку підходів до захисту інформації. Так у загальних рисах можна охарактеризувати зміст вітчизняного досвіду захисту інформації в автоматизованих системах.
Інформація може існувати в різних формах у вигляді сукупностей деяких знаків (символів, сигналів тощо) на носіях різних типів, інформація ж в АС визначається як сукупність усіх даних і програм, які використовуються в АС незалежно від засобу їх фізичного та логічного представлення [1]. У зв'язку з бурхливим процесом інформатизації суспільства все більші обсяги інформації накопичуються, зберігаються і обробляються в автоматизованих системах, побудованих на основі сучасних засобів обчислювальної техніки і зв'язку. У даній статті будуть розглядатися тільки ті форми подання інформації, які використовуються при її автоматизованій обробці.
Суб'єктами інформаційних відносин є держава (загалом або окремі його органи і організації), громадські або комерційні організації (об'єднання) і підприємства (юридичних осіб), окремі громадяни (фізичні особи). У процесі своєї діяльності суб'єкти можуть знаходитись один з одним в різного роду відносинах, у тому числі з питань отримання, зберігання, обробки, поширення і використання певної інформації. Такі відносини між суб'єктами будемо називати інформаційними, а самих суб'єктів, що беруть у них участь, — суб'єктами інформаційних відносин [1-3].
Для подальшого розгляду проблеми безпеки АС розглянемо деякі важливі дефініції в галузі захисту інформації.
Автоматизована система обробки інформації (АСОІ) — це організаційно-технічна система, що являє собою сукупність наступних взаємопов'язаних компонентів:
· технічних засобів обробки і передачі даних (засобів обчислювальної техніки і зв'язку);
· методів і алгоритмів обробки у вигляді відповідного програмного забезпечення;
· інформації (масивів, наборів, баз даних) на різних носіях;
· персоналу і користувачів системи, об'єднаного за організаційно-структурними, тематичними, технологічними або іншими ознаками для виконання автоматизованої обробки інформації (даних) з метою задоволення інформаційних потреб суб'єктів інформаційних відносин.
Обробка інформації в АС — це будь-яку сукупність операцій (прийом, збір, накопичення, зберігання, перетворення, відображення, видача тощо), здійснюваних над інформацією (відомостями, даними) з використанням засобів АС.
Різні суб'єкти по відношенню до певної інформації можуть виступати як (можливо, одночасно): джерела (постачальники) інформації; користувачі (споживачі) інформації; власники (розпорядники) інформації; фізичні і юридичні особи, в яких збирається інформація; власники систем збору і обробки інформації і учасники процесів обробки і передачі інформації тощо.
Для успішного здійснення своєї діяльності по управлінню об'єктами деякої предметної області суб'єкти інформаційних відносин можуть бути зацікавлені в забезпеченні:
· своєчасного доступу (за прийнятний для них час) до необхідної ним інформації;
· конфіденційності (збереження в таємниці) певної частини інформації;
· достовірності (повноти, точності, адекватності, цілісності) інформації;
· захисту від нав'язування ним помилкової (недостовірної, спотвореної) інформації (тобто від дезінформації);
· захисту частини інформації від незаконного її тиражування (захисту авторських прав, прав власника інформації тощо);
· розмежування відповідальності за порушення законних прав (інтересів) інших суб'єктів інформаційних відносин і встановлених правил поводження з інформацією;
· можливості здійснення безперервного контролю і управління процесами обробки і передачі інформації.
Будучи зацікавленим у забезпеченні хоч би однієї з вищеназваних вимог, суб'єкт інформаційних відносин є вразливим, тобто потенційно схильним до нанесення йому збитку (прямого або непрямого, матеріального або морального) за допомогою впливу на критичну для нього інформацію і її носіїв або за допомогою неправомірного використання такої інформації. Тому всі суб'єкти інформаційних відносин зацікавлені в забезпеченні своєї інформаційної безпеки [6] (звісно, різною мірою в залежності від величини збитку, який їм може бути нанесений). Для задоволення законних прав і перерахованих вище інтересів суб'єктів (забезпечення їх інформаційної безпеки) необхідно постійно підтримувати наступні властивості інформації і систем її обробки:
доступність інформації, тобто властивість системи (середовища, засобів і технології її обробки), в якій циркулює інформація, що характеризується здатністю забезпечувати своєчасний безперешкодний доступ суб'єктів до зацікавленої інформації, а також постійна готовність відповідних автоматизованих служб до обслуговування отриманих від суб'єктів запитів, коли в цьому виникає необхідність;
цілісність інформації, тобто властивість інформації, яка полягає в її існуванні в неспотвореному вигляді (незмінному по відношенню до деякого фіксованого її стану). Якщо говорити точніше, суб'єктів цікавить забезпечення більш широкої властивості — достовірності інформації, яка складається з адекватності (повнота і точність) відображення стану предметної області і безпосередньої цілісності інформації, тобто її неспотворення. Однак ми обмежимося тільки розглядом питань забезпечення цілісності інформації, оскільки питання адекватності відображення виходять далеко за рамки проблеми забезпечення інформаційної безпеки;
конфіденційність інформації — суб'єктивно визначає характеристику (властивість) інформації, вказуючи на необхідність введення обмежень на коло суб'єктів, що мають доступ до даної інформації та забезпечується здатністю системи (середовища) зберігати вказану інформацію в таємниці від суб'єктів, які не мають повноважень на доступ до неї. Об'єктивні передумови подібного обмеження доступності інформації для одних суб'єктів укладені в необхідності захисту законних інтересів інших суб'єктів інформаційних відносин.
Оскільки збиток суб'єктам інформаційних відносин може бути нанесений опосередковано, через певну інформацію і її носіїв (у тому числі автоматизовані системи обробки), то закономірно виникає зацікавленість суб'єктів у забезпеченні безпеки цієї інформації та систем її обробки і передачі. Іншими словами, як об'єкти захисту в інтересах забезпечення безпеки суб'єктів інформаційних відносин повинні розглядатися інформація, носії і процеси її обробки.
Однак завжди потрібно пам'ятати, що вразливими є саме зацікавлені в забезпеченні певних властивостей інформації і систем її обробки суб'єкти (інформація, як і засоби її обробки, не має своїх інтересів, які можна було б ущемити і нанести тим самим збиток). Тому розглядаючи питання забезпечення безпеки АС або циркулюючої в системі інформації, треба, на наш погляд, розуміти під цим непряме забезпечення безпеки суб'єктів, що беруть участь у процесах автоматизованої інформаційної взаємодії.
Термін «безпека інформації» треба розуміти як захищеність інформації від небажаного для відповідних суб'єктів інформаційних відносин її розголошування (порушення конфіденційності), спотворення (порушення цілісності), втрати або зниження міри доступності інформації, а також незаконного її тиражування. Оскільки суб'єктам інформаційних відносин збиток може бути нанесений також за допомогою впливу на процеси і засоби обробки критичної для них інформації, очевидною стає необхідність забезпечення захисту всієї системи обробки і передачі даної інформації від несанкціонованого втручання в процес її функціонування, а також від спроб розкрадання, незаконної модифікації і/ або руйнування будь-яких компонентів даної системи. Отже, під безпекою автоматизованої системи обробки інформації (комп'ютерної системи) розуміємо захищеність всіх її компонентів (технічних засобів, програмного забезпечення, даних і персоналу) від подібного роду небажаних впливів для відповідних суб'єктів інформаційних відносин.
Безпека будь-якого компонента (ресурсу) АС складається із забезпечення трьох його характеристик: конфіденційності, цілісності і доступності. Конфіденційність компонента системи полягає в тому, що він доступний тільки тим суб'єктам доступу (користувачам, програмам, процесам), яким надані на те відповідні повноваження. Цілісність компонента системи передбачає, що він може бути модифікований тільки суб'єктом, що має для цього відповідні права. Цілісність є гарантією коректності (незмінності, працездатності) компонента в будь-який момент часу.
Доступність компонента означає, що суб'єкт, маючи відповідні повноваження, може в будь-який час без особливих проблем отримати доступ до необхідного компонента системи (ресурсу).
Таким чином, кінцевою метою захисту АС і циркулюючої в ній інформації є запобігання або мінімізація збитку (прямого або непрямого, матеріального або морального), що наноситься суб'єктам інформаційних відносин за допомогою несанкціонованого впливу на АС, а також витоку, модифікації, знищення інформації.
На жаль так склалося, що підхід до класифікації інформації за рівнем вимог до її захищеності головним чином базується на розгляді і забезпеченні тільки однієї властивості інформації — конфіденційності. Вимоги ж до забезпечення цілісності і доступності інформації, як правило, лише фігурують серед загальних вимог до систем обробки цих даних. Вважається, що раз до інформації має доступ тільки вузьке коло довірених осіб, то ймовірність її модифікації (несанкціонованого знищення) незначна. Низький рівень довіри до АС і перевага паперової інформаційної технології ще більше посилюють обмеженість даного підходу. Якщо внаслідок існуючої пріоритетності властивостей безпеки важливої державної інформації такий підхід якоюсь мірою виправданий, то це зовсім не означає, що його механічне перенесення в іншу предметну область (з іншими суб’єктами та їх інтересами) матиме успіх.
У багатьох галузях діяльності частка конфіденційної інформації порівняно мала. Для комерційної і персональної інформації, як і для державної, що не підлягає засекреченню, пріоритетність властивостей безпеки інформації може бути іншою. Для відкритої інформації, збиток від розголошування якої несуттєвий, найважливішими можуть бути такі якості, як доступність, цілісність або захищеність від неправомірного тиражування. Наприклад, для платіжних (фінансових) документів найважливішою є властивість їх цілісності (достовірності, захищеності від несанкціонованого впливу). Потім, у міру вагомості, йде властивість доступності (втрата платіжного документа або затримка платежів може обійтися дуже дорого). Вимог до забезпечення конфіденційності окремих платіжних документів може не пред’являтися взагалі. Це підтверджують і деякі практичні дані, отримані при дослідженні питань безпеки інформації в банківських автоматизованих системах. Так, наприклад, при збереженні банківських рахунків у зашифрованому вигляді в файлах ЕОМ не виключена можливість, що службовець банку, знаючи стандарти заповнення рахунків і маючи доступ до комп’ютера, може замінити частину шифр-тексту в своєму рахунку на шифр-текст з рахунку клієнта, який має значну суму коштів. Якщо формати співпали, то рахунок такого службовця з великою ймовірністю зросте. Цей приклад ще раз підтверджує, що небезпека для цілісності інформації значно вища за небезпеку порушення конфіденційності, а шифрування, здатне добре захистити від порушень конфіденційності, не захищає від порушення її цілісності.
Розвиток системи класифікації інформації за рівнем вимог до її захищеності передбачає введення вимог по забезпеченню кожної з властивостей безпеки інформації: доступності, цілісності й конфіденційності, а цінність інформації є критерієм при прийнятті будь-якого рішення про її захист [4]. Градація вимог до захищеності інформації може мати такий вигляд: 1) немає вимог; 2) низькі; 3) середні; 4) високі; 5) дуже високі.
Надалі будь-який окремий функціонально закінчений документ (деяку сукупність знаків, яка містить певні відомості), незалежно від вигляду носія, на якому він знаходиться, будемо називати інформаційним пакетом. До одного типу інформаційних пакетів можна відносити пакети (типові документи), що мають схожість за деякими ознаками (структурою, технологією обробки, типом відомостей тощо).
Нами пропонується наступна методика визначення вимог до захищеності циркулюючої в АС інформації:
1. Складається загальний перелік типів інформаційних пакетів, циркулюючих у системі (документів, таблиць). Для цього з урахуванням предметної області системи пакети інформації розділяються на типи за її тематикою, функціональним призначенням, схожістю технології обробки тощо.
· обсяг збитків (незначний, малий, середній, великий, дуже великий тощо), що наносяться ним при цьому, і відповідний рівень вимог до захищеності.
При визначенні обсягу збитків, що наносяться, необхідно враховувати вартість можливих втрат при отриманні інформації конкурентом; вартість відновлення інформації при її втраті; витрати на відновлення нормального процесу функціонування АС тощо.
Якщо виникають труднощі через велику розбіжність оцінок для різних частин інформації одного типу пакетів, то потрібно переглянути розподіл інформації на типи пакетів, повернувшись до попереднього пункту методики.
· порушення конфіденційності (розкриття) інформації;
· порушення цілісності інформації (її повне або часткове знищення, спотворення, фальсифікація, дезінформація);
· порушення (часткове або повне) працездатності системи.
Виведення з ладу або неправомірна зміна режимів роботи компонентів АС обробки інформації, їх модифікація або підміна може привести до отримання недостовірних результатів, відмови системи від потоку інформації (невизнанню однієї з взаємодіючих сторін факту передачі або прийому повідомлень) і / або відмови в обслуговуванні кінцевих користувачів; несанкціонованому тиражуванню відкритої інформації, наприклад, програм, баз даних, різного роду документації тощо. Таким чином, захищати АС (з метою захисту інтересів суб’єктів інформаційних відносин) необхідно не тільки від несанкціонованого доступу до інформації, що обробляється і зберігається в них, але і від неправомірного втручання в процес її функціонування, порушення працездатності системи, тобто від будь-яких несанкціонованих дій (впливу).
1. Про захист інформації в автоматизованих системах. Закон України //Відомості Верховної Ради (далі – ВВР).— 1994. — №31.—Ст.286.
2. Про інформацію. Закон України // ВВР. — 1992.— № 48.—Ст.650.
3. Про Національну програму інформатизації. Закон України // ВВР. — 1998. —№74.— Ст.90.
4. Голубєв В.О. Програмно-технічні засоби захисту інформації від комп’ютерних злочинів.— Запоріжжя, 1998. — С.17-19.
5. Харламов В.П. Некоторые концептуальные аспекты защиты информации // Вопросы защиты информации.—М.: ВНИИМИ, 1994.— № 1.
| Голубєв В.О. |