6.2. Суть і поняття Інформації,

Інформаційної безпеки, захисту

Інформації

Загальне поняття інформації подано у філософії, де під нею розуміють відображення реального світу. Як філософську категорію її вважають од­ним із атрибутів матерії, що відображає її структуру. Погляд на інформацію з огляду на її споживачів окреслює таке поняття: інформація - це нові відомості, що прийняті, зрозумілі й оцінені її користувачем як корисні. Інакше кажучи, інформація - це нові знання, які отримує споживач (суб'єкт) в результаті сприйняття і перероблення певних відомостей.

Термін "інформація" походить від лат. "іпГогтатіо", яке має кілька значень:

роз'яснення, виклад, витлумачення;

• представлення, поняття;

• ознайомлення, просвіта.

Саме слово "іпіогтайо" складається із префікса іп- (в-, на-, при-) і дієслова Гогто (надаю форму, створюю), пов'язаного з іменником іогта (форма).

В англійській мові слово "ітхГогтайоп" (в написанні "тіогтасіоші") вперше з'явилося в 1387 р. Сучасного написання це слово набуло в XVI сг. У східнослов'янські мови слово "інформація" прийшло із Польщі у XVII ст.

Із середини XX ст. інформація стала загальнонауковим поняттям, але досі в науковій сфері воно залишається вкрай дискусійним. Загаль-ноприйнятного визначення інформації не існує, і воно використовується переважно на інтуїтивному рівні.

На нашу думку, інформація з погляду безпеки - це дані, відомості, документи, які мають бути захищеними через їх важливість для суб'єкта діяльності та можливі наслідки від незаконної о втручання, розкриття чи розголошування.

Залежно від галузі використання термін "їж) ормація" дістав безліч визначень (табл. 6.1).

Таблиця 6.1

Перелік вживаних визначень поняття "інформація

з/п	Основні визначення іін| о|ш:иііі
1	Відомості або повідомлення про щось (побу і от і
2	Роз'яснення, виклад
3	Міра неоднорідності розподілу матерії та спер: ії у н|ии рі іі часі, міра змін, якими супроводжуються всі процеси у сві і і {у країн і.кнп , ..пий Віктор Михайлович Глушков)
4	Передача різноманітності (англійській філої м," і.ям . Іішбі)
5	Інформація є системним явищем і складає її і примни ші : двох підсистем, про що можна зробити висновок, спираюч к і» н ■>• ремі міжнародні нормативно-правові акти та національне заі ип ... н > баї атьох країн (Інформація як предмет злочину. Дарія ПрокоФ - на 11/(1 ( "Тезіс" НТУУ "КПГпІгр://ісІрогШІ.огд.ш/ра£е-іс1-637.п{т)
6	Оригінальність, новизна
7	Фундаментальний генералізаційно-єдиний бі .і >чаі ково-нескінченний за-конопроцес автоосциляційного, резонансно-сотового, частотнокван-тового та хвильового відношення, взаємодії, взаємоїк,'і і рення та взаємозбереження (у просторі й часі) енергії, руху, маси та антимаси на основі матеріалізації та дематеріалізації в мік^о- й макроструктурах Всесвіту (інформаціологія, російський учений Іван Йосипович Юзвішин)
8	Будь-який вид інформації у матеріальній або нематеріальній формі
9	Комунікація і зв'язок, у процесі якого усувається невизначеність (теорія зв'язку, американський учений Клод Шеннон)
10	Заперечення ентропії, міра хаосу в системі (термодинаміка, французький учений Леон Бріллюен)
11	Відомості у будь-яких формі й вигляді, збережені на різних носіях, по­яснення посадових осіб, громадян та якісь інші публічно оголошені чи задокументовані дані (3. Б. Живко, М. 0. Живко, ї. 0. Живко. Словник економічних термінів)
12	Імовірність вибору (радянські вчені Аківа та Ісаак Яглон)
13	Властивості матеріальних об'єктів породжувати та зберігати певний стан, який в різних матеріально-енергетичних формах може передаватись між об'єктами
14	Міра складності структур (французький учений Абраам Моль)
15	Відображена різноманітність (радянський учений Аркадій Дмитрович Урсул)
16	Позначення змісту, отриманого з зовнішнього світу в процесі нашого присто­сування до нього і пристосування до нього наших почуттів (американський учений Норберт Вінер)
17	Інформація з погляду безпеки - це дані, відомості, документи, які мають бути захищеними через їх важливість для суб'єкта діяльності, та можливі наслідки від незаконного втручання, розкриття чи розголошування (3. Б. Живко, М. 0. Живко. Словник економічних термінів)
18	Документовані або публічно оголошені відомості про події та явища, що відбуваються в суспільстві, державі та навколишньому природному середовищі (Закон України "Про інформацію")
19	Інформація - це об'єкт багатофункціональний. Вона створюється й застосовується в усіх сферах діяльності і забезпечує виконання різноманіт­них функцій і завдань, що постають перед найрізноманітнішими суб'єктами - органами державної влади, місцевого самоврядування, перед фізичними та юридичними особами, іншими соціальними утвореннями (М. Демкова, М. Фігель. Інформація як основа інформаційного суспільства: визначення поняття 1.1 іі|>:и-...і\' реї \ :ііі"'.аипяі
20	Універсальна субстанція, що пронизує всі сфери людської діяльності, слугує провідником знань і думок, інструментом спілкування, взаєморо-зуміння та співробітництва, утвердження стереотипів мислення й поведінки (ЮНЕСКО)
21	У перекладі з латинської "інформація" (іпГогтайоп) - це роз'яснення, виклад (Юридична енциклопедія: В 6 т. // Редкол.: Ю. С. Шемшученко (голова ред-кол.) та ін. - К.: Укр. енцикл., і 998. - С. 717.)
22	Дані, які можуть зберігатися у будь-яких формі і вигляді та відповідають вимогам правових норм (3. Б. Живко, М. 0. Живко, І. О. Живко. Словник економічних термінів)
23	Відомості (або їх сукупність) про предмети, явища й процеси навколишнього світу. Сьогодні немає усталеного й вичерпного тлумачення цього терміну, тому слід розглядати його, виходячи з аналізу досліджень філософів (М. Дем­кова, М. Фігель. Інформація як основа інформаційного суспільства: визначен­ня поняття та правове регулювання)

Атрибутивна концепція інформації"— одна із двох філософських концепцій (парадигм) інформації. Згідно з цією концепцією, інформація - це об'єктивна внутрішня властивість усіх матеріальних об'єктів, вона міститься в усіх без винятку елементах та системах матеріального світу

Іншими словами, інформація є невід'ємним атрибутом (властивістю) матерії (звідси назва концепції).

Нині багато які вчені та філософи вважають, що доречно говорити про три іпостасі існування матерії:

1. речовина, яка відображає сталість матерії;

2. енергія, яка відображує рух, зміну матерії";

3. інформація, що відображує структуру, організацію матерії. Інформація, згідно з цією концепцією, міститься у формі властивих

матеріальним об'єктам структур (така інформація називається струк­турною, потенційною, апріорною, внутрішньою, інформацією "в собі"). З цим підходом пов'язане визначення інформації як відображень р ізноманітності.

Інформація в загальному її розумінні є мірою неоднорідності розподілу матерії та енергії у просторі та в часі; мірою змін, яки­ми супроводжуються всі процеси, що відбуваються у світі. Тобі.» інформація створює уявлення про природу і структуру матерії, пре її впорядкованість та різноманіття. Вона не може існувати поза матеріє к а отже, існувала й існуватиме вічно, її можна накопичувати, зберігати та переробляти.

Відповідно до цього, процес пізнання розглядають як декодування інформації, що міститься в предметах реального світу.

Функціональна концепція інформації - одна із двох філософських концепцій (парадигм) інформації. Поява цієї концепції пов'язан розвитком кібернетики - науки про управління та зв'язок у живих організмах, суспільстві й машинах (це дало другу назву концепції функціонально-кібернетична). Кібернетика формулює принцип нероз­ривного зв'язку (єдності) інформації з управлінням, з функціонуванням самокерованих та самоорганізовуваних систем (технічних, біологічних та соціальних).

Прихильники функціональної концепції не визнають існування інформації в неживій природі, а саму інформацію визначають як зміст сигналу або повідомлення, отриманого кібернетичною системою із зовнішнього світу.

Функціональна концепція інформації представлена двома течіями кібернетичною й антропоцентричною.

Прихильники кібернетичної течії стверджують, що інформація (інформаційні процеси) присутні в усіх самокерованих (технічних, біологічних, соціальних) системах. Антропоцентрична течія обмежує сферу існування інформації та інформаційних взаємодій винятково людським суспільством та свідомістю. Існування інформації в живій, а і нм більше в неживій природі заперечується; вважається, що інформація -.' явилася в процесі антропосоціогенезу, й оперувати нею можуть ви­нятково соціалізовані особистості, які володіють мовою, свідомістю і а самосвідомістю. Фактично антропоцентристська течія ототожнює поняття "інформація" й "соціальна інформація", оскільки ніякої ішло і інформації, крім соціальної, не визнає. Якщо є інформація, то завжді і • охочі її отримати, звідси й вимога, що інформація має бути захищена від конкурентів, сторонніх осіб, часом і від партнерів.

У практичній діяльності використовують переважно такі категорії інформації: важлива; корисна; конфіденційна; відкрита; секретна; ко­дована; закрита.

Для кращого розуміння суті інформації та її особливостей розгляне­мо загрози, які виникають під час збирання, опрацювання, використання інформації та ухвалення управлінських рішень.

Фахівці науково-технічних, виробничих, економічних та інших служб підприємства повинні визначати загрози безпеці та навчитися правильно й конкретно (у вартісній формі) оцінювати передбачувані і реальні втрати компанії внаслідок просочування інформації, яка віднесена до категорії комерційної таємниці.

Під загрозою безпеці розуміють потенційні дії або події, які можуть прямо чи опосередковано спричинити втрати - призвести до розладу системи, спотворення інформації чи несанкціонованого використання ресурсів мережі, включаючи інформацію, що зберігається, передається або опрацьовується, а також програмні й апаратні засоби.

Нині не існує єдиної загальноприйнятої класифікації загроз, хоча є багато її варіантів (рис. 6.4).

Загрози поділяють на випадкові (або ненавмисні) і навмисні. Дже­релом випадкових можуть бути помилки в програмному забезпеченні, вихід із ладу апаратних засобів, неправильні дії користувачів або адміністрації локальної обчислювальної мережі тощо. Навмисні за­грози, на відміну від випадкових, пов'язані із завданням шкоди ко­ристувачам (абонентам) локальної обчислювальної мережі і, в свою чергу, поділяються на пасивні й активні.

Рис. 6.4. Основні ознаки класифікації загроз безпеці

Пасивні загрози спрямовані на несанкціоноване використання інформаційних ресурсів локальної обчислювальної мережі, не впли­ваючи при цьому на її функціонування. Зокрема, пасивною загрозою є спроба отримання інформації, що циркулює в каналах передачі певної шкальної обчислювальної мережі, шляхом підслуховування.

Активні загрози спрямовані на порушення нормального функціонування локальної обчислювальної мережі цілеспрямованим впливом на її апаратні, програмні та інформаційні ресурси. До актив­них загроз належать:

• порушення або радіоелектронне заглушення ліній зв'язку локальної обчислювальної мережі;

• виведення з ладу ЕОМ;

• виведення з ладу операційної системи Н М;

• перекручування відомостей в корисі • :■•.• їх даних;

• перекручування відомостей системної інформації локальної обчислювальної мережі та ін.

Джерелами активних загроз можу гь бути б< ".посередні дії зловмисників, програмні віруси і т.ін. ()< повні ни :,.) •.,» роз безпеки інформації подано на рис. 6.5.

Рис. 6.5. Класифікація загроз • сі їй інформації

Компрометація інформації здійснюється внесенням несанкціонованих змін у бази даних, внл< иідок чого її користувач змушений або відмовитись від неї, або докласти додаткових зусиль до виявлення змін і відновлення справжніх відомостей. У разі вико­ристання скомпрометованої інформації к< рік гувач може прийняти неправильні рішення з усіма наслідками.

Засобами реалізації загрози розкриття конфіденційної інформації може бути несанкціонований доступ до баз даних (БД), прослуховуван інтересах особистості, суспільства та держави. Модель системи за­хисту інформації можна подати блок-схемою (рис. 6.6).

Інформаційна безпека відіграє істотну роль у забезпеченні життєво важливих інтересів будь-якої країни.

Метою забезпечення інформаційної безпеки в Україні є ство­рення розгалуженого, захищеного інформаційного простору, за­хист національних інтересів України в умовах формування світових інформаційних мереж, захист економічного потенціалу держави від незаконного використання інформаційних ресурсів, реалізація прав громадян, установ та держави на отримання, поширення й викори­стання інформації.

Загрози інформаційній безпеці - фактор або сукупність їх, що ство­рюють небезпеку функціонуванню та розвитку інформаційного про­стору, інтересам: особистості, суспільства, держави.

Розвиток національної інноваційної системи - створення ефективної інноваційної системи і сприятливого бізнес-середовища, які стимулю­ватимуть інновації і підприємництво, складовими елементами якої є "наука - технологія - виробництво - ринок" і яка дасть можливість матеріалізувати інформацію і знання у вигляді якісних товарів і по­слуг.

Розвиток соціального капіталу - створення умов для самореалізації кожної людини. Саме завдяки людині і, що важливо, в її власних інтересах і розвивається інформаційне суспільство. Тому активне інвестування в людський капітал і є головною умовою такого розвит­ку. Третій сектор має стати активним учасником усіх процесів, що відбуваються в державі, партнером держави і бізнесу в процесі розвитку інформаційного суспільства, активним провідником ідей соціально-економічного розвитку України за допомогою ІКТ.

Захист інформації - сукупність засобів, методів, організаційних заходів щодо запобігання можливим випадковим або навмисним впли­вам природного чи штучного характеру, наслідком яких можуть бути збитки чи шкода, завдані власникам інформації або її користувачам, інформаційному простору.

Захист інформації полягає в забезпеченні її доступності при збереженні цілісності та гарантованої конфіденційності.

Система захисту державної таємниці ~ сукупність органів захисту державної тяг ушиці, що діють у взаємодії та координації відповідно до наданої зак", < і їв* і зом компетенції, використовуваних ними форм, методів і засобі \ іа; і • іу відомостей, що становлять державну таємницю, їх носіїв та заходів ш • ір< в< >дя і ься в їх інтересах (рис. 6.7)

Зазначимо, що пор) її м ня і і (юрмаційної безпеки зумовлюють безсистемність захисту інформації і слабка координація дій із захисту інформації в загальнодержавному масштабі. Функціонування системи захисту інформації схематично подано на рис. 6.8.

Рівень інформаційної безпеки активно впливає на стан полі-тичної, економічної, оборонної та інших складових національної безпеки України, бо реалізація інформаційних загроз - це переважно завдана шкода в політичній, військовій, економічній, соціальній, екологічній та інших сферах.

Рис, 6. 8. Функціонування систем': іахін *'- інформації

Нині в Україні немає реальних гара п в інформаційної безпеки країни, комплексу нормативно-правових и гін «іхисту інформаційних ресурсів та інформаційної інфраструкі урн 11 роцес інформатизації є стихійним, некерованим, з переважним використанням засобів інформатизації іноземного виробництва.

Така безсистемність процесів формування інформаційної інфраструктури зумовлює складність вири к і проблеми інформаційної безпеки, захисту інформаційних ресурсів. Специфіка цих проблем полягає в тому, що об'єктивно достатнього рівня захищеності інформаційної інфраструктури та інформаційних ресурсів можна досягти тільки у разі чіткого визначення об'єктів інформаційної безпеки України, забезпечення надійного функціонування державних та суспільних інститутів реалізації практичних заходів гарантування інформаційної безпеки.

Проблема інформаційної безпеки має особливе значення в умо­вах, коли в суспільстві зрозуміли, що інформаційні ресурси є об'єктом власності і мають товарну цінність. Вона не може бути вирішена без впровадження нових ідей, нових знань, нової політики у сфері інформатизації. Концептуальними є пропозиції щодо широкого залу­чення саме вітчизняних учених та виробників до вирішення цієї про­блеми як складової національної безпеки. Вітчизняні фахівці мають гарантувати високу якість інформаційних послуг, безпеку інформаційних технологій, сучасну систему сертифікації програмних і технічних засобів, впровадження стандартизації, створення національних баз даних, си­стем телекомунікації, безпеку роботи в світовому інформаційному просторі.

Ігнорування проблем інформаційної безпеки може призвести до труднощів у прийнятті найважливіших політичних, економічних, соціальних, військових та інших рішень. Напрямами інформаційної безпеки є:

1. Система заходів щодо запобігання несанкціонованому доступу до інформації, несанкціонованої її модифікації або порушення цілісності (Іпїогтап'ога] Зесшігу).

2. Захист далітичних, державних і громадських інтересів країни, за­гальних моральних цінностей, запобігання закликам до порушення територіальної цілісності, заборона інформації, яка містить ідеї війни, насилля, дискримінації і посягання на права людини.

3. Запобігання розповсюдженню відомостей, що становлять дер­жавну таємницю, а також даних з обмеженим доступом і за­критого тину, що переміщуються через державний кордон.

Інформаційне забезпечення урядів, різних державних органів, не­державних організацій та фірм залежить від їхніх потреб у кожному конкретному випадку.

Електронний уряд - система, створення якої сприятиме підвищеннюякості, ефективності й прозорості управлінських процесів у державі, а також налагодженню взаємодії державних органів із громадянами, приватним сектором і одного з одним.

Стан захищеності інтересів громадян, суспільства та держави в інформаційній сфері називають інформаційною безпекою. Інформаційна безпека України складається із багатьох компонентів і залежить від:

удосконалення та розвиток індустрії інформування населення країни;

• розроблення методів і форм інформаційної політики держави; 5) розроблення методів і засобів оцінювання ефективності систем

і засобів інформаційної безпеки та їх сертифікація. Отже, інформаційна безпека України залежить від вирішення проблем формування суспільної свідомості, процесів виробництва та репродукції інформаційних ресурсів і доступу до них, створення цивілізованого ринку інформаційних продуктів та послуг, реалізації прав громадян на інформацію.

Серед численних проблем гарантування інформаційної безпеки України можна виділити кілька, які найбільше турбують пересічного громадянина -споживача інформації (глядача, читача тощо). Адже близько 35% повідомлень українських ЗМІ стосуються тем насильства, жорстокості, злочинної діяльності тощо. З професійного огляду подій зрозуміло, що для пошуку сенсації, привернення уваги читачів така тематика потрібна , а з огляду на її соціально-виховне значення - ні. Не кращою є ситуація і в царині електронних ЗМІ (телебачення, радіо). Подібна інформація ганьбить людську гідність, особливо негативно впливає на психіку дітей та молоді, спотворює їх світосприйняття, створює негативні настрої в суспільстві.

Наступна проблема українського інформаційного простору - за­силля іноземної теле-, радіо-, електронної та друкованої продукції.

Вирішення окреслених проблем є справою далеко не одного року. Для цього потрібно також впроваджувати належну послідовну державну політику і залучати значні кошти, зрештою, мають бути певні зміни в суспільній свідомості.

6.3. Класифікація 1 характеристика різних видів інформації

Інформація - це об'єкт цивільних прав, що належать до категорії нематеріальних благ. Згідно зі ст. 178 [і' раїни, інформація може вільно відчужуватися або переходити за правонаступшщтвом чи успад­ковуватися іншим способом, якщо вона не вилучена із цивільного обороту чи не обмежена в ньому або є невід'ємною частиною фізичної чи юридичної особи.

Використовують переважно такі категорії інформації:

важлива - незамінна та необхідна для діяльності; відновлення її після знищення неможливе або дуже трудомістке і пов'язане із

При створенні інформаційного масиву частина інформації відпадає (наприклад, на підприємстві може не бути певних виробничих паї > ж-ностей, а отже, і відповідних економічних характеристик), а часі мііи неповною (наприклад, технічний рівень устаткування за паспорт ними даними високий, але можливість забезпечити високий рівень техно юі п і організації виробництва ще невідома). Велика кількість інформаї 'її і а-кож є нормативною, але це внутрішньофірмовий рівень нормативі юс і і. наприклад: норми трудомісткості, енергоємності, матеріалоємності продукції, нормативи оборотних коштів, нормативи чисельності та ін.

До інформації, що характеризує стан фірми, можна віднести: організаційно-правові характеристикитравовия статус; форма власності; організаційна структура; наявність філій; торгова марка;

• виробничі потужності: розмір; структура; відповідність характеристиці нового товару;

• матеріальні ресурси: специфіка матеріальних ресурсів; розмір запасів; наявність і характеристика інформації; умови зберігання;

• трудові ресурси: кількість персоналу; його склад і характери­стики, джерела поповнення;

• організаційно-технологічні можливості: відповідність техніки, технології, організації виробництва вимогам до конкурентоспроможної продукції; наявність ліцензій і патентів;

• економічні характеристики: рентабельність; продуктивність праці; фінансовий стан;

екологічні характеристики: рівень екологічної безпеки вирсС ництва; можливості його сертифікації, атестації продукції;

• інші види інформації: кліматичні умови; наближеність до дже­ рел ресурсів.

Інформацію про ринкову кон'юнктуру при створенні чи розвитку фірми класифікують так

Основними видами інформації є: статистична; масова;

інформація про діяльність державних органів влади та органів місцевого і регіонального самоврядування; правова; інформація про особу; довідково-енциклопедична;

• соціологічна.

Статистична інформація - це офіційна документована дер­жавна інформація, що дає кількісну характеристику подій і явищ, які відбуваються в економічній, соціальній, культурній та інших сферах життя України.

Масова інформація -публічно поширювана друкована та аудіовізуальна.

Друкованими засобами масової інформації є періодичні друковані видання (преса): газети; журнали; бюлетені; разові видання з визна­ченим тиражем.

Аудіовізуальні засоби масової інформації: радіомовлення; теле­бачення; кіно; звукозапис; відеозапис тощо.

Інформація про діяльність державних органів та органів влади місцевого і регіонального самоврядування - офіційна документована інформація, яка створюється в процесі поточної діяльності законодавчої, виконавчої та судової влади, органів місцевого і регіонального само­врядування.

Основні джерела цієї інформації, законодавчі акти України; інші акти, які приймають Верховна Рада та її органи; акти Президента України; підзаконні нормативні акти; ненормативні акти державних органів; акти органів місцевого й регіонального самоврядування.

Законодавчі та інші нормативні акти, що стосуються прав, свобод і законних інтересів громадян, не доведені до публічного відома, не мають юридичної сили.

Правова інформація - це сукупність документованих або публічно оголошених відомостей про право, його систему, джерела, реалізацію, юридичні факти, правовідносини, правопорядок, правопорушення та боротьбу з ними і їх профілактику тощо.

Джерелами правової інформації є: Конституція України;

• інші законодавчі і підзаконні нормативні правові акти; міжнародні договори та угоди;

• норми і принципи міжнародного права; ненормативні правові акти; повідомлення засобів масової інформації;

• публічні виступи;

• інші джерела інформації з правових питань. Для забезпечення доступу до законодавчих та інших нормативних

актів всіх громадян держава забезпечує видання цих актів масовчмі тиражами у найкоротші строки після набрання ними чинності.

Інформація про особу - це сукупність документованих або публічно оголошених відомостей про особу.

Основними даними про особу (персональними даними) ': національність; освіта; сімейний стан; релігійність; стан здоров'ї': адреса; дата і місце народження.

Джерела документованої інформації про особу: • видані на її ім'я документи; документи, підписані особою;

відомості про особу, зібрані державними органами влади та органами місцевого і регіонального самоврядування в межа> своїх повноважень.

Забороняється збирання відомостей про особу без її' попередньої згоди, за винятком випадків, передбачених законом.

Кожна особа має право на ознайомлення з інформацією, зібраної* . про неї. Інформація про особу охороняється законом.

Інформація довідково-енциклопедичного характеру - це систематизовані, документовані або публічно оголошені відомості пр< суспільне, державне життя та навколишнє природне середовище.

Основні джерела цієї інформації: енциклопедії; словники; довідники; рекламні повідомлення та оголошення; путівник, картографічні матеріали тощо; довідки, що даються уповноваженим!--' на те державними органами та органами місцевого і регіонального само врядуваняя, громадськими об'єднаннями, організаціями, їх службовим!: особами та автоматизованими інформаційними системами.

Система цієї інформації, доступ до неї регулюються бібліотечним, архівним та іншим галузевим законодавством.

Після замовлення такого дослідження зазначені структури розробля­ють анкету з ключовими запитаннями, наймають додатковий персонал, якщо такий потрібен, збирають дані за допомогою телемаркетингу, проводять опитування, систематизують дані, підбивають підсумки, передають результати замовникові, тобто обґрунтувують пропозиції та вибирають альтернативи.

Перевагами в цій галузі вважаються: вартість послуг; авторитет­ність; регіональна представленість.

Рис. 6.12. Найвідоміїні інформаційні агентства

6.4. Методи ї способи ііїхнсту інформації

Створення систем інформаційної бешсь.. (< ІІІ) и і< - І'1'ірунтується на таких принципах:

Системний підхід до побудови системи іамн^- •• оніачаї оптимальне поєднання взаємозв'язаних організаційнії ~. іірш рал шп а -/ратних, фізичних та інших властивостей, підтверджених ир н гнкою створення вітчизняних і зарубіжних систем захисту ? напікших на всіх етапах технологічного циклу оброблення інформації.

Принцип безперервного розвитку енспн мт одним з основопо­ложних для комп'ютерних інформації них і, исгем га актуальним для СІБ. Способи уникнення загроз інформації м П безперервно вдоско­налюються, тому гарантування безпеки І ■ - може бути одноразовим актом. Це безперервний процес, що поляї а< у:

обґрунтуванні та реалізації най" іьш раціональних методів, способів і шляхів удосконалення СІБ;

• безперервному контролі;

• виявленні її вузьких і слабких місць;

• установленні потенційних каналів просочування інформації;

• визначенні нових способів несанкціонованого доступу. Розмежування і мінімізація повноважень з доступу до оброблюваної

інформації і процедур оброблення - це на ктння як користувачам, так і працівникам 1С мінімуму певних повноважень, достатніх для виконання ними своїх службових обов'язків.

Повнота контролю і реєстрації спроб несанкціонованого досту­пу означає необхідність точно встановлювати ідентичність кожного користувача і протоколювання його дій для проведення можливого розслідування, а також неможливість здійснювати будь-яку операцію з оброблення інформації в ІТ без її попередньої реєстрації.

Забезпечення надійності системи захисту полягає в неможливості зниження рівня надійності у разі виникнення в системі збоїв, відмов, навмисних дій зломлювача або ненавмисних помилок користувачів та обслуговуючого персоналу.

Забезпечення контролю за функціонуванням системи захисту -це створення засобів і методів контролю працездатності механізмів захисту.

Система інформаційної безпеки повинна мати певні види власного програмного забезпечення, спираючись на які вона буде здатна вико­нувати свою цільову функцію.

1. Правове забезпечення - сукупність законодавчих актів, нормативно-правових документів, положень, інструкцій, вимоги яких є обов'язковими в рамках сфери їх діяльності в системі захисту інформації.

2. Організаційне забезпечення - гарантування інформаційної без­пеки певними структурними одиницями.

3. Інформаційне забезпечення - відомості, показники, параме­три, що є підставою для вирішення завдань, які забезпечують функціонування СІБ (показники доступу, обліку, зберігання, різні розрахункові завдання, пов'язані з діяльністю служби безпеки).

4. Технічне (апаратне) забезпечення - передбачає широке викори­стання технічних засобів для захисту інформації та забезпечення діяльності СІБ.

5. Програмне забезпечення ~- різні інформаційні, облікові, статистичні й розрахункові програми, що забезпечують оцінювання наявності й небезпеки різних каналів витоку інформації та способів несанкціонованого доступу до неї.

Математичне забезпечення - математичні методи, які вико­ристовують для різних розрахунків, пов'язаних з оцінюванням

небезпеки технічних засобів, які мають зловмисники, сфер і норм необхідного захисту.

7. Лінгвістичне забезпечення ~ сукупність спеціальних мовних засобів спілкування фахівців і користувачів у сфері гаранту­вання інформаційної безпеки.

7. Нормативно-методичне забезпечення містить:

норми і регламенти діяльності органів, служб, засобів, що реалізовують функції захисту інформації; ⁹ різні методики, що забезпечують діяльність користувачів при виконанні своєї роботи за >і • <ік і міх вимог дотримання конфіденційності.

Одним із найбільш використовуваних механізмів захисту від хакерів є міжмережеві екрани - брендмауери (йгелуаііз). Проте зауважимо, що внаслідок непрофесіоналізму частини адміністраторів і вад деяких типів брендмаусрів понад 30% зломів відбувається після установки захисних систем. Така ситуація в захисті інформації є проблемою не лише європейських країн. Україна в цій ситуації теж не виняток, вона впевнено доганяє інші країни за кількістю зломів серверів і локальних мереж та завданими ними збитками.

Незважаючи на нібито правовий "хаос", будь-яка діяльність, пов'язана з розробленням, продажем і використанням засобів захи­сту інформації, регулюється безліччю законодавчих і нормативних документів, а всі використовувані системи підлягають обов'язковій сертифікації.

Нині питанням безпеки даних у розподілених комп'ютерних систе­мах приділяється велика увага. Розроблено безліч засобів для гаран­тування інформаційної безпеки, що призначені для використання на різних комп'ютерах з різними ОС. Одним із напрямів є міжмережеві екрани (гіге^аїк), які контролюють доступ до інформації користувачів зовнішніх мереж.

Проблема міжмережевого екранування формулюється так: мож­лива наявність двох і більше інформаційних систем. Екран (рІгем>аїї) - це засіб розмежування доступу клієнтів з однієї із багатьох систем до інформації, що зберігається на серверах в інших системах (рис. 6. 13).

Рис. 6.13. Міжмережеве екранування

Екран виконує свої функції, контролюючи всі інформаційні по­токи між цими двома множинами інформаційних систем, працюючи як "інформаційна мембрана". У цьому сенсі його можна уявити як набір фільтрів, що аналізують інформацію, яка проходить через них, і на основі закладених у них алгоритмів приймають рішення щодо пропуску цієї інформації, затримання чи відмови в пересиланні. Крім того, ця система може реєструвати події, позв'язані із процесами роз­межування доступу.

Зазвичай такі системи роблять несиметричними. Для екранів виз­начають поняття "усередині" і "зовні", і завдання екрана полягає в захисті внутрішньої мережі від "потенційно ворожого" зовнішнього оточення. Найважливішим прикладом потенційно ворожої зовнішньої мережі є Інтернет.

Класичним прикладом викладених вище принципів є програмний комплекс 8оІ8псе Ріге\¥а11-1 компанії 8ші Місгозузїетк. Цей пакет не­одноразово мав нагороди на виставках і конкурсах. Він має позитивні особливості, що виокремлюють його серед продуктів аналогічного призначення.

Центральним для системи Ріге^а11-1 є модуль керування всім ком­плексом. З цим модулем працює адміністратор безпеки мережі. Слід зазначити, що продуманість і зручність графічного інтерфейсу моду­ля керування відзначалася в багатьох незалежних оглядах продуктів цього класу.

Адміністратор безпеки мережі для конфігурації комплексу Рігс\Уа11-1 виконує такі дії:

визначає об'єкти, що беруть участь у процесі оброблення інформації;

описує мережеві протоколи і сервіси, з якими будуть працювати; описує політику розмежування доступу за прийнятою термінологією, яка компілюється у спеціальну форму блоком керування і передається для виконання у модулі фільтрації. Модулі фільтрації'можуть бути розміщені:

• на комп'ютерах;

⁸ на шлюзах виділених серверів;

* в маршрутизаторах.

Нині підтримуються такі два типи маршрутизаторів: Сізсо 108 9.x, 10.x, а також ВауИеглюгкз (\¥е11Яееі) 08 у.8.

Модулі фільтрації переглядають усі пакети, що надходять на мережеві інтерфейси, залежно від заданих правил їх пропускають чи відкидають з відповідним записом у реєстраційному журналі. Слід зазначити, що ці модулі, працюючи безпосередньо з драйверами мере­жевих інтерфейсів, обробляють увесь потік даних, розміщуючи повну інформацію про передані пакети.

Процес практичної реалізації політики безпеки компанії за допомогою програмного пакета Кге\¥а11-1 має такий вигляд (рис. 6.15).

Для реалізації політики комп'ютерної безпеки треба дотримувати таких правил:

із локальних мереж підрозділів, можливо виокремлених, дозволяється зв'язок з будь-якою локальною мережею органі­зації після аутентифікації, наприклад, за ІЖІХ-паролем усім забороняється доступ до мережі фінансового департаменту, за винятком генерального директора і директора цього депар­таменту

Така ситуація є типовою уразі зміни конфігураціїРітеШаІІ-1. Зви­чайно, для цього потрібно змінити кілька рядків у наборі правил до­ступу, що, безсумнівно, ілюструє силу засобів конфігурації і загальну продуманість архітектури Ріге.

Морально-етичні засоби захисту ~ різні норми поведінки, які традиційно склалися раніше, формуються у спосіб розповсюдження ІС і ІТ в країні і світі або спеціально розробляються. Вони можуть бути неписані (чесність) або оформлені в якесь зведення (статут) правил чи розпоряджень. Ці норми зазвичай не є законодавчо затвердженими, але оскільки їх недотримання призводить до падіння престижу організації, вони вважаються обов'язковими для виконання. Характерним при­кладом таких розпоряджень є Кодекс професійної поведінки членів Асоціації користувачів ЕОМ США, Кодекс честі аудиторів.

Ні для кого не секрет, що інформація коштує дорого, а іноді навіть занадто дорого. Існує багато методів негласного зняття інформації: акустичний контроль приміщення; прослуховування телефонних ліній;

• перехоплення комп'ютерної інформації;

• приховане фото- та відеознімання; візуальний нагляд;

підкуп працівників;

• підкуп родичів працівників;

приймання паразитних електромагнітних випромінювань.

Акустичний контроль приміщення можливий за допомогою: мікрофона, з виведенням сигналу по кабелю; диктофона; стетоско­па; радіомікрофона; телефонної лінії; лазерного зняття інформації з віконного скла.

Спеціальні мікрофони мають дуже маленькі розміри. Інформація із мікрофона передається по кабелю в сусідню кімнату, де виконується її запис. Вузькоспрямований мікрофон дає змогу прослуховувати на відстані до кілометра.

Професійні цифрові диктофони, незважаючи на маленькі розміри, дають змогу безперервно записувати до 20 год розмов. Якщо викори­стати функцію акустопуску (запис здійснюється лише тоді, коли хтось говорить), то залишений диктофон може записувати інформацію дуже довго. Останнім часом диктофони вмонтовують у предмети побуту.

Стетоскоп - прилад, що дає можливість прослуховувати крізь товсті стіни (до 1 м).

Радіомікрофон - основний пристрій для негласного отримання інформації. Залишений один раз в офісі "жучок" буде роками пере­давати акустичну інформацію радіоканалам. Розміри цих "жучків" залежать від розміру блоку живлення. Якщо "жучок" живиться від стороннього джерела (наприклад, від телефонної лінії), то він зовсім непомітний.

Телефонну лінію використовують не лише для прослуховування те­лефонних розмов, а й для прослуховування офісу (при цьому трубка ле­жить на телефонному апараті). Для цього використовують мікрофонний ефект, високочастотне нав'язування, системи "теле-монітор", "теле­фонне вухо" та ін. Деякі системи даю 11, змогу прослуховувати будь-яке приміщення, через котре проходи п. теїіефопний кабель, навіть з іншої держави.

За допомогою спеціального лазера мо • п і прослуховувати офіс через зачинене вікно з відстані до кілометра.

Розвиток нових інформаційних техіншої ііі і загальна комп'юте­ризація зробили інформаційну безпеку ооон я :м>ною і однією з ха­рактеристик ІС.

Існує досить розповсюджений клас сигн-м опрацювання інформації, при розробленні яких чинник безпеки шдії р,м і., ршомергову роль, зокрема банківські інформаційні системи

Безпека ІС - це захищеність системи «ід ніша ь окої... або навмис­ного втручання в нормальний процої її фут цющ нашої, від спроб розкрадання (несанкціонованого отримання) інформації, модифікації або фізичного руйнування її компонен і». Гобто ііс : і і шість протидіяти різним протизаконним діям на ІС.

Загроза безпеці інформації - поді і або дії які можуть призвести до спотворення, несанкціонованого викорж гаїшя чи руйнування інформаційних ресурсів керованої системи, а також програмних і апаратних засобів.

Зняти інформацію з комп'ютера можна ;і допомогою: "хакерсь-кого" мистецтва; прихованої камер;:, спеціального радіоприймача, який приймає паразитичні випромінювання комп'ютера (як правило - монітора) із наступним детектуванням . ориеної інформації.

Багато хто вважає, що в рівній гладенькій стіні кімнати з євро-ремонтом неможливо сховати відеокамер-.- так. щоб її ніхто не побачив. Насправді це можливо.

Модель пошуку пристроїв зняття інформації спецелужбою подано нарис. 6.17.