Глоссарий

возможность за приемлемое время получить требуемую информационную услугу, а также предотвращение несанкционированного отказа в получении информации; *

предотвращение несанкционированной модификации или разрушения информации;

предотвращение несанкционированного ознакомления с информацией. Законодательные средства правовые акты страны, которые регламентируют правила использования, обработки, и передачи информации ограниченного доступа и которые устанавливают меры ответственности за нарушение этих правил Закрытые данные данные, доступные ограниченному кругу пользователей. Защита информации (защита данных, Data protection) совокупность методов и средств, обеспечивающих целостность, конфиденциальность, достоверность, аутентичность и доступность информации в условиях воздействия на неё угроз естественного или искусственного характера. Злоумышленник (ЗЛ) лицо, пытающееся посредством использования несовершенства правовых, организационных или технических средств обеспечения информационной безопасности оказать неправомерное и несанкционированное воздействие на (получить, изменить или ограничить в доступе защищаемую информацию) информацию организации. Идентификация процесс анализа персональных, технических или организационных характеристик или кодов для получения (предоставления) доступа к компьютерным ресурсам. Имитозащита защита систем передачи и хранения информации от навязывания ложных данных. Информационная безопасность состояние защищенности жизненно важных интересов личности, общества, государства в информационной сфере (среде) Информационная война информационное противоборство с целью нанесения ущерба важным структурам противника, подрыва его политической и социальной систем, а также дестабилизации общества и государства противника. Информационная неопределенность несоответствие фактического и желаемого состояний информированности сотрудников об окружающей действительности, которое не позволяет решать задачи предметной деятельности Информационная потребность определенное состояние субъекта предметной деятельности, которое возникает в связи с необходимостью получения сведений, обеспечивающих решение предметных задач Информационная преступность проведение информационных воздействий на информационное пространство или любой его элемент в противоправных целях. Как ее частный вид может рассматриваться информационный терроризм, т.е. деятельность, проводимая в политических целях. Информационная сфера (среда) сфера деятельности субъектов, связанная с созданием, преобразованием и потреблением информации Информационное воздействие акт применения информационного оружия. Информационное оружие комплекс технических и других средств, методов и технологий, предназначенных для: *

установления контроля над информационными ресурсами потенциального противника; *

вмешательства в работу его систем управления и информационных сетей, систем связи и т.п. в целях нарушения их работоспособности, вплоть до полного выведения из строя, изъятия, искажения содержащихся в них данных или направленного введения специальной информации; *

распространение выгодной информации и дезинформации в системе формирования общественного мнения и принятия решений;

воздействие на сознание и психику политического и военного руководства, личного состава вооруженных сил, спецслужб и населения противостоящего государства, используемых для достижения превосходства над противником или ослабления проводимых им информационных воздействий.

Информационное противоборство форма межгосударственного соперничества, реализуемая посредством оказания информационного воздействия на системы управления других государств и их вооруженных сил, а также на политическое и военное руководство и общество в целом, информационную инфраструктуру и средства массовой информации этих государств для достижения выгодных для себя целей при одновременной защите от аналогичных действий от своего информационного пространства. Информация 1) общенаучное понятие, включающее обмен сведениями между людьми;

2) с точки зрения принятия решений информацией являются данные, оказывающие влияние на поведение системы, используемые в процессе принятия решений или в связи с осуществлением тех или иных действии;

3) сведения (отображение) о событии или состоянии реальной действительности, позволяющие принимать решения, ведущие к достижению цели предметной деятельности. Источник информации материальный объект, носитель определенных сведений, представляющих конкретный интерес для злоумышленника Канал утечки информации физический путь от источника КИ к злоумышленнику, посредством которого возможно нарушение конфиденциальности Коммерческая (служебная) тайна информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании и обладатель информации принимает меры к охране ее конфиденциальности. Компьютерная безопасность состояние, в котором файлы данных и программы не могут быть использованы, просмотрены и модифицированы неавторизованными лицами (включая персонал системы), компьютерами или программами. Безопасность обеспечивается путём создания вокруг компьютера и оборудования защитной зоны, в которой работает только авторизованный персонал, а также использования специального программного обеспечения и встроенных в операционные процедуры механизмов защиты. Контроль безопасности (аудит безопасности) независимое изучение системных записей и действий: -

для проверки адекватности системных средств управления; -

для обеспечения их соответствия установленной политике и рабочим процедурам;

для обнаружения брешей в безопасности и выдачи рекомендаций по изменению управления, политики и процедур. Конфиденциальная информация документированная информация, доступ к которой ограничивается в соответствии с законодательством РФ. Конфиденциальность компьютерной информации это свойство информации быть известной только допущенным и прошедшим проверку (авторизацию) субъектам системы (пользователям, программам, процессам и т.д.). Концепция системы информационной безопасности системно взаимосвязанная совокупность структурных решений, реализующих требуемое качество информационной безопасности. Криптографическая защита защита информационных процессов от целенаправленных попыток отклонить их от нормальных условий протекания. Криптографическая система, криптосистема набор криптографических преобразований или алгоритмов, предназначенных для работы в единой технологической цепочке с целью решения определённой задачи защиты информационного процесса. Криптографические средства средства защиты с помощью преобразования информации (шифрование). Шифрованием называется некоторое обратимое однозначное преобразование данных, делающее их непонятными для неавторизованных лиц. Никто, кроме хозяина данных и лиц, которым разрешен доступ к этим данным, не должен знать, во-первых, самого алгоритма преобразования данных, а, во-вторых, управляющих данных для такого алгоритма – так называемых ключей. Шифрование делает почти бессмысленным простой доступ к данным: ведь, не зная ключа, захватчик может годами биться над украденной абракадаброй, но так и не понять смысла данных. Логическая бомба компьютерного вируса участок программы, который реализует некоторые действия при наступлении определённых условий. Этим условием может быть, например, наступление какой-то даты или появление какого-то имени файла. Люком компьютерного вируса называется не описанная в документации на программный продукт возможность работы с этим программным продуктом. Сущность использования люков состоит в том, что при выполнении пользователем некоторых неописанных в документации действий он получает доступ к возможностям и данным, которые в обычных условиях для него закрыты (в частности, выход в привилегированный режим). Маскировка метод защиты информации в автоматизированной информационной системе предприятия путем ее криптографического закрытия. Микрофонный эффект появление в цепях радиоэлектронной аппаратуры посторонних (паразитных) электрических сигналов, обусловленных механическим воздействием, в том числе и звуковой волны. Наблюдение постоянное или выборочное активное и целенаправленное исследование предметов, явлений или людей в естественных условиях или с помощью технических средств с последующим обобщением и анализом данных наблюдения. Незаконное подключение контактное или бесконтактное подсоединение к различного рода линиям и проводам с целью несанкционированного доступа к информации, образующейся или передаваемой в них тем или иным путем. Несанкционированный доступ (НСД) к информации преднамеренные, противоправные действия злоумышленников с целью нарушения информационной безопасности. Носители сведений, составляющих государственную тайну материальные объекты, в том числе физические поля, в которых сведения, составляющие государственную тайну, находят свое отображение в виде символов, образов, сигналов, технических решений и процессов. Обеспечение безопасности проведение единой государственной политики в этой сфере и система мер экономического, политического, организационного и иного характера, адекватных угрозам жизненно важным интересам личности, общества и государства, направленных на выявление и предупреждение угроз. Обеспечение информационной безопасности регулярная деятельность по созданию и поддержанию заданного уровня информационной безопасности. Объектами посягательств могут быть сами технические средства (компьютеры и периферия) как материальные объекты, программное обеспечение и базы данных, для которых технические средства являются окружением. В этом смысле компьютер может выступать и как предмет посягательств, и как инструмент. Если разделять два последних понятия, то термин компьютерное преступление как юридическая категория не имеет особого смысла. Если компьютер - только объект посягательства, то квалификация правонарушения может быть произведена по существующим нормам права. Если же – только инструмент, то достаточен только такой признак, как «применение технических средств». Возможно объединение указанных понятий, когда компьютер одновременно и инструмент и предмет. В частности, к этой ситуации относится факт хищения машинной информации. Если хищение информации связано с потерей материальных и финансовых ценностей, то этот факт можно квалифицировать как преступление. Также если с данным фактом связываются нарушения интересов национальной безопасности, авторства, то уголовная ответственность прямо предусмотрена в соответствии с законами РФ. Каждый сбой работы компьютерной сети это не только «моральный» ущерб для работников предприятия и сетевых администраторов. По мере развития технологий платежей электронных, «безбумажного» документооборота и других, серьёзный сбой локальных сетей может просто парализовать работу целых корпораций и банков, что приводит к ощутимым материальным потерям. Не случайно, что защита данных в компьютерных сетях становится одной из самых острых проблем в современной информатике. Операционная безопасность данных защита данных от модификации, разрушения или разглашения (случайных, неавторизованных либо преднамеренных) во время выполнения операций ввода, обработки или вывода. Организационное обеспечение информационной безопасности регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к КИ становится невозможным или существенно затрудняется за счет проведения организационных мероприятий. Организационные мероприятия совокупность процессов или действий, ведущих к образованию и совершенствованию взаимосвязей между частями целого. Организационные средства организационно-технические и организационно-правовые мероприятия по поведению персонала. Организационные средства обеспечения информационной безопасности упорядоченная совокупность организационных решений, регламентирующих на правовой основе: создание и функционирование системы информационной безопасности, взаимоотношения сотрудников и подразделений организации между собой и со сторонними организациями, общую организацию работ в сфере информационной безопасности. Оргштатный элемент это «обезличенный» пользователь системы, для которого провидится работа по управлению доступом к операциям и объектам системы. Затем реальному пользователю выдаётся право быть представленным в системе в виде оргштатного элемента. Основные объекты безопасности личность – права и свободы; общество – материальные и духовные ценности; государство – конституционный строй, суверенитет, территориальная целостность. Открытое опубликование конфиденциальных сведений публикация материалов в открытой печати, передача по радио и телевидению, оглашение на международных и внутрироссийских съездах, конференциях, совещаниях, симпозиумах, при публичной защите диссертаций и других публичных выступлениях, свободная рассылка, вывоз материалов за границу или передача их в любой форме иностранным фирмам, организациям или отдельным лицам вне сферы прямых служебных обязанностей. Перехват получение разведывательной информации за счет приема сигналом электромагнитной энергии пассивными средствами приема, расположенными, как правило, на достаточно безопасном расстоянии от источника конфиденциальной информации. Перечень сведений, составляющих служебную или коммерческую тайну Документ, содержащий сведения, не являющиеся секретными, но связанными с производственной, управленческой, финансовой и другой деятельностью организации, разглашение или утечка которых может нанести ущерб ее интересам, а также сведения, содержащие деловую информацию, имеющую фактическую или потенциальную ценность для организации в связи с ее конфиденциальным характером. Персональные данные сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность. Побуждение метод защиты информации, который побуждает пользователей и персонал системы не нарушать установленные правила за счёт соблюдения сложившихся моральных и этических норм. Правовое обеспечение защиты информации совокупность законодательных актов, нормативно-правовых документов, положений, инструкций, руководств, требования которых являются обязательными в рамках сферы их деятельности в системе защиты информации. Преобразователь прибор, который трансформирует изменение одной физической величины в изменение другой. В терминах электроники это означает преобразование неэлектрической величины в электрический сигнал и наоборот. Препятствие метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.п.). Принуждение метод защиты информации, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности. Программные средства защиты предназначены для выполнения логических и интеллектуальных функций защиты и включаются либо в состав программного обеспечения автоматизированной информационной системы, либо в состав средств, комплексов и систем аппаратуры контроля. Программные средства защиты информации являются наиболее распространенным видом защиты, обладая следующими положительными свойствами: универсальностью, гибкостью, простотой реализации, возможностью изменения и развития. Данное обстоятельство делает их одновременно и самыми уязвимыми элементами защиты информационной системы предприятия. Процесс обеспечения информационной безопасности совокупность логически упорядоченных, взаимосвязанных и организованных процедур безопасности, ведущая к достижению цели обеспечения информационной безопасности. Разглашение противоправные, умышленные или неосторожные действия сотрудников организации, приведшие к не вызванному служебной необходимостью, оглашению конфиденциальных сведений, которые в установленном порядке были доверены им по работе, а также передача таких сведений по открытым техническим каналам или обработка их на некатегорированных ЭВМ. Регламентация метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи информации, при которых возможность несанкционированного доступа к ней сводилась бы к минимуму. Система защиты данных комплекс программных, технических, криптографических и организационных средств, обеспечивающих защиту данных от несанкционированного использования, а также преднамеренного или случайного их разрушения и искажения. Система информационной безопасности организованная совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации - от нарушения конфиденциальности, целостности и доступа Системный аналитик специалист, описывающий прикладные проблемы, определяющий спецификации системы, дающий рекомендации по изменениям оборудования, проектирующий процедуры обработки данных и методы верификации предполагаемых структур данных. Скрытый канал канал коммуникации, позволяющий процессу передавать информацию путём, нарушающим политику безопасности, реализуемую в данной системе. След контроля записи о транзакциях, выполняемых в системе, которые (записи) в совокупности документируют ход обработки информации в системе, что, в свою очередь, позволяет проследить (провести трассировку) его вперед – от исходных транзакций до создаваемых в процессе их работы записей и/или отчётов, а также назад – от конечных записей/ отчётов до исходных транзакций. Последовательность записей, составляющих след контроля, позволяет определить источники возникновения транзакций в системе и последовательность их выполнения системой. Служба безопасности система штатных органов управления и организационных формирований, предназначенных для обеспечения безопасности информации. Средства защиты информации

Средства защиты информации: -

технические, криптографические, программные и другие средства, предназначенные для защиты конфиденциальной информации; -

средства реализации средств защиты информации;

средства контроля эффективности защиты информации. Стратегическое планирование СИБ 1) методология анализа, разработки и сопровождения сложных СИБ, определяющая подсистемы, компоненты и способы их соединения, задающая ограничения, при которых система должна разрабатываться и функционировать, выбирающая наиболее эффективное сочетание людей и технических средств для реализации системы;

2) деятельность, осуществляемую для выработки решений по трансформации начального состояния СИБ к требуемому состоянию, при ограничениях на время и ресурсы. Субъект обеспечения безопасности 1) основной – государство, осуществляющее в этой области через органы законодательной, исполнительной и судебной властей;

2) граждане, общественные организации в соответствии с законодательством. Троянский конь вид компьютерного вируса, функции, реализуемые программой, но не описанные в документации.

Человек, знающий эту функцию, может заставить работать программу непредсказуемым для окружающих способом. Угроза условия, представляющие потенциальную возможность нанесения ущерба компьютерной системе. Атаки – частный вид угроз, так же как стихийные бедствия , человеческие ошибки, программные сбои и т.д. Угроза безопасности Совокупность условий и факторов, создающих опасность жизненно важным интересам личности, общества и государства. Угроза безопасности организации потенциально или реально возможное событие, действие, процесс или явление, которое способно нарушить устойчивость, развитие или привести к прекращению деятельности организации. Угрозы доступности данных возникают в том случае, когда объект (пользователь или процесс) не получает доступа к законно выделенным ему ресурсам. Эта угроза реализуется захватом всех ресурсов, блокированием линий связи несанкционированным объектом в результате передачи по ним своей информации или исключением необходимой системной информации. Угрозы конфиденциальности данных и программ реализуются при несанкционированном доступе к данным (например, к сведениям о состоянии счетов клиентов банка), программам или каналам связи. Информация, обрабатываемая на компьютерах или передаваемая по локальным сетям передачи данных, может быть снята через технические каналы утечки. Угрозы отказа от выполнения транзакций возникают в том случае, когда легальный пользователь передает или принимает платежные документы, а потом отрицает это, чтобы снять с себя ответственность. Угрозы целостности данных, программ, аппаратуры. Целостность данных и программ нарушается при несанкционированном уничтожении, добавлении и модификации записей о состоянии счетов, изменении порядка расположения данных. Управление в терминологии безопасности защитный механизм (действие, устройство, процедура, технология и т.д.), уменьшающий уязвимость компьютерной системы. Управление доступом метод защиты информации регулированием использования всех ресурсов автоматизированной информационной системы предприятия. Управление доступом включает следующие функции защиты: 1.

идентификацию пользователей, персонала и ресурсов информационной системы (присвоение каждому объекту персонального идентификатора); 2.

аутентификацию (установление подлинности) объекта или субъекта по предъявленному им идентификатору; 3.

проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту); 4.

разрешение и создание условий работы в пределах установленного регламента; 5.

регистрацию обращений к защищаемым ресурсам;

реагирование (сигнализация, отключение, задержка работ, отказ в запросе) при попытках несанкционированных действий. Утечка информации неконтролируемый выход конфиденциальной информации за пределы организации или круга лиц, которым они были доверены. Уязвимость некоторая слабость системы безопасности, которая может послужить причиной нанесения компьютерным системам ущерба. Физические средства защиты предназначены для внешней охраны территории объектов, защиты компонентов автоматизированной информационной системы предприятия и реализуются в виде автономных устройств и систем. Хищение умышленное, противоправное тайное завладение чужим имуществом, средствами, документами, информацией. Целостность информации немаловажный аспект информационной безопасности, обеспечивающий предотвращение несанкционированных изменений и разрушений информации. Примерами нарушения целостности могут служить различные, совершенные при помощи вычислительных систем, кражи в банках, подделка кредитных карточек, изменения информации в различных информационных системах. Целостность ресурса системы свойство ресурса быть неизменным в семантическом смысле при функционировании системы. Целостность системы состояние системы, в котором существует полная гарантия того, что при любых условиях компьютерная система базируется на логически завершённых аппаратных и программных средствах, обеспечивающих работу защитных механизмов, логическую корректность и достоверность операционной системы и целостность данных. Червь программа, внедряемая в систему, часто злонамеренно, и прерывающая ход обработки информации в системе. В отличие от вирусов червь обычно не искажает файлы данных и программы. Обычно червь выполняется, оставаясь необнаруженным, и затем самоуничтожается. Экспозиция форма возможной потери или ущерба для компьютерной системы. Например, экспозициями считаются неавторизованный доступ к данным или противодействие авторизованному использованию компьютерной системы. Электронное устройство защиты электронное устройство в составе компьютера, предназначенное для защиты программ и данных от несанкционированного доступа. Электронное устройство защиты выполняет функции замка, ответчика и т.п. “Rainbow series” (Радужная серия) опубликованные стандарты безопасности, используемые Министерством обороны США, названные каждый по цвету обложки. Например, в «красной книге» описываются вопросы безопасности в сетях, в «жёлтой книге»- безопасность паролей, в «оранжевой книге» («Department of Defence Trusted Computer System Evaluation Criteria» DOD 5200.28 – STD («критерий оценивания безопасности компьютерных систем министерства обороны»)) дается стандарт оценивания безопасности компьютерных систем, устанавливающий четыре иерархические класса – A, B, C и D – определенных уровней доверенности (иными словами, уверенности в безопасности) для конкретных приложений, разрабатываемых и используемых в интересах правительства, - доверенных компьютерных систем т.д. Risk analysis (Анализ риска) процесс изучения характеристик и слабых сторон системы, проводимый с использованием вероятностных расчётов, с целью определения ожидаемого ущерба в случае возникновения неблагоприятных событий. Задача анализа риска состоит в определении степени приемлемости того или иного риска в работе системы. Risk assessment (Оценка риска) метод анализа угроз и слабых сторон, известных и предполагаемых, позволяющий определить размер ожидаемого ущерба и степень его приемлемости для работы системы. Secure operating system (безопасная операционная система) операционная система, эффективно управляющая аппаратными и программными средствами с целью обеспечения уровня защиты, соответствующего содержанию данных и ресурсов, контролируемых этой системой.