3.1. Основні визначення і критерії класифікації загроз

Загроза - це потенційна можливість певним чином порушити інформаційнубезпеку.

Спроба реалізації загрози називається атакою, а той, хто вчиняє таку спробу, -зловмисником. Потенційні зловмисники називаються джерелами загроз.

Найчастіше загроза є наслідком наявності уразливих місць у захистіінформаційних систем (таких, наприклад, як можливість доступу сторонніх осіб докритично важливого устаткування або помилки в програмному забезпеченні).

Проміжок часу від моменту, коли з'являється можливість використатислабке місце, і до моменту, коли прогалина ліквідується, називається вікномнебезпеки, асоційованим з даним уразливим місцем. Поки існує вікнонебезпеки, можливі успішні атаки на ІС.

Якщо мова йде про помилки в ПЗ, то вікно небезпеки "відкривається" зпоявою засобів використання помилки й ліквідується при накладенні латок, які ЇЇвиправляють.

Для більшості уразливих місць вікно небезпеки існує порівняно довго (кількаднів, іноді - тижнів), оскільки за цей час повинні відбутися наступні події:

• повинно стати відомо про засоби використання прогалини в захисті;

• повинні бути випущені відповідні латки;

• латки повинні бути встановлені в захищуваній ІС.

Ми вже вказували, що нові уразливі місця й засоби їхнього використанняз'являються постійно; це значить, по-перше, що майже завжди існують вікнанебезпеки й, по-друге, що відстеження таких вікон повинне провадитися постійно,а випуск і накладення латок - якомога оперативніше.

Відзначимо, що деякі загрози не можна вважати наслідком якихось помилокабо прорахунків; вони існують у чинність самої природи сучасних ІС. Наприклад,загроза відключення електрики або виходу його параметрів за припустимі границііснує внаслідок залежності апаратного забезпечення ІС від якісногоелектроживлення.

Розглянемо найпоширеніші загрози, яким піддаються сучасні інформаційнісистеми. Мати подання про можливі загрози, а також про уразливі місця, які цізагрози зазвичай експлуатують, необхідно для того, щоб вибирати найбільшекономічні засоби забезпечення безпеки. Занадто багато міфів існує в сферіінформаційних технологій (згадаємо все ту ж "Проблему 2000"), тому незнанняв цьому випадку веде до перевитрати коштів й, що ще гірше, до концентраціїресурсів там, де вони не дуже потрібні, за рахунок ослаблення дійсно уразливихнапрямків.

Підкреслимо, що саме поняття "загроза" у різних ситуаціях найчастішетрактується по-різному. Наприклад, для підкреслено відкритої організації загрозконфіденційності може просто не існувати - вся інформація вважаєтьсязагальнодоступною; однак у більшості випадків нелегальний доступ є серйозноюнебезпекою. Іншими словами, загрози, як і все в ІБ, залежать від інтересівсуб'єктів інформаційних відносин (і від того, який збиток є для нихнеприйнятним).

Ми спробуємо подивитися на предмет з погляду типової (на наш погляд)організації. Втім, багато загроз (наприклад, пожежа) небезпечні для всіх.Загрози можна класифікувати по декількох критеріях:

• по аспекту інформаційної безпеки (доступність, цілісність,конфіденційність), проти якого загрози спрямовані в першу чергу;

• по компонентах інформаційних систем, на які загрози націлені (дані,програми, апаратура, підтримуюча інфраструктура);

• по способу здійснення (випадкові/навмисні дії природного/техногенногохарактеру);

• розташуванню джерела загроз (усередині/поза розглянутим ІС).

Як основний критерій ми будемо використовувати перший (по аспекту ІБ),залучаючи при необхідності інші.