24. Уязвимости систем обработки информации

Угрозы безопасности информации, как возможные опасности совершения какого-либо действия, направленного против объекта защиты, проявляются не сами по себе, а через уязвимости, приводящие к нарушению безопасности информации на конкретном объекте информатизации.

Каждой угрозе могут быть сопоставлены различные уязвимости. Для удобства анализа, уязвимости разделяют на классы, группы, подгруппы, а для идентификации используют различные обозначения (цифрами, буквами, буквенно-цифровые).

Выделяют три класса уязвимостей:

• объективные,

• субъективные,

• случайные.

Зависимость каждого класса от условий и возможности по устранению, уязвимостей каждого класса приводятся в таблице.

Класс уязвимостей	Зависимость	Возможности по устранению
Объективные	Зависят от особенностей построения и технических характеристик оборудования ОИ	Полное устранение этих уязвимостей невозможно, но они могут существенно ослабляться техническими и инженерно-техническими методами защиты информации
Субъективные	Зависят от действий сотрудников	В основном устраняются организационными и программно-аппаратными методами
Случайные	Зависят от особенностей окружающей защищаемый ОИ среды, и непредвиденных обстоятельств	Как правило, мало предсказуемы и их устранение возможно только при проведении комплекса организационных и инженерно-технических мероприятий по противодействию угрозам

25. Понятие и классификация каналов утечки информации ограниченного доступа

Любая угроза безопасности информации реализуется применением определённого способа воздействия, предусматривающего использование соответствующего этому способу средства.

Преднамеренные воздействия планируются. При этом злоумышленник (нарушитель) определяет цель воздействия на защищаемую информацию, носитель (источник) информации, алгоритм воздействия, путь от средства воздействия до носителя информации, средство и способ получения информации.

В случае с информацией ограниченного доступа основной целью воздействия является получение сведений конфиденциального характера или секретной информации, и злоумышленник определяет маршрут её получения или несанкционированного доступа, если невозможно получить её другим способом.

Известно, что информация вообще передаётся полем или веществом. Это либо акустическая волна (звук), либо электромагнитное излучение, либо лист бумаги с текстом, либо дискета с электронными документами и др. Исходя из физической природы, выделяют следующие средства переноса информации:

• электромагнитные волны (включая волны видимого диапазона - световые лучи);

• звуковые волны;

• материалы и вещества.

В общем случае путь от источника информации ограниченного доступа к её незаконному получателю (злоумышленнику) называют каналом утечки информации. Канал - это маршрут передачи информации.

В современных источниках по защите информации существует множество определений канала утечки информации. Исходя из их анализа, наиболее полно (в широком смысле) это определение может быть выражено следующим образом:

Канал утечки информации - неконтролируемый физический путь от источника информации ограниченного доступа за пределы организации или круга лиц, обладающих охраняемыми сведениями, посредством которого возможно неправомерное овладение злоумышленниками конфиденциальной (секретной ) информацией.

Канал утечки информации - канал коммуникации, позволяющий процессу передавать информацию путем, нарушающим безопасность системы

Канал утечки информации - методы и пути утечки информации из информационной системы; паразитная (нежелательная) цепочка носителей информации, один или несколько из которых являются (могут быть) правонарушителем или его специальной аппаратурой.

Условно всю совокупность каналов утечки информации можно разделить на две труппы: потенциально существующие и специально создаваемые.

Потенциально существующие каналы утечки (широковещательные) - незащищённые каналы передачи информации. Они имеют место всегда, когда отсутствуют системы и средства защиты информации, меры организационного и правового характера.

Потенциально существующие каналы утечки информации создают возможность несанкционированного доступа к конфиденциальной информации с применением технических средств разведки и получения её агентурной разведкой, а также разглашения. Их использование не требует принятия специальных мер для преодоления систем и рубежей защиты. Используются пассивные способы реализации угроз.

Специально создаваемые каналы утечки информации связаны с необходимостью несанкционированного доступа к информации ограниченного доступа. Их создание связано с нарушением систем защиты, функционирования средств защиты, а также правил и прав доступа. Цель создания - несанкционированный доступ и получение информации. Специально создаваемые каналы, характеризуются внедрением агентов или подкупом персонала, использованием специальных закладочных устройств и (или) программных закладок, программных вирусов и т.д. При их использовании осуществляется активное воздействие на персонал, системы защиты или системы передачи данных. Канал утечки информации является одной из составляющих угрозы безопасности информации ограниченного доступа. С использованием каналов утечки информации реализуются способы НСД к информации ограниченного доступа и получение её разведками.

Единого подхода к классификации каналов утечки информации в методологии защиты информации в настоящее время нет. В большинстве случаев классифицируются технические каналы утечки информации.

Исходя из существующих норм защиты информации, определённых в нормативных документах по защите информации можно выделить следующие группы каналов утечки информации:

• организационные каналы утечки информации;

• технические каналы утечки информации;

• инфо-телекоммуникационные каналы утечки информации;

• системно-программные каналы утечки информации;

• комбинированные каналы утечки информации.