А
Б В
Г Д
Е Ж
З И
К Л
М Н
О П
Р С
Т У
Ф Х
Ц Ч
Ш Э
Ю Я
Реферат: Исследование радиоактивных загрязнений
Исследование радиоактивных загрязнений
Сущность и соотношение понятий "защита информации", "безопасность информации", "информационная безопасность"
А. И. АЛЕКСЕНЦЕВ,
кандидат исторических наук, профессор Российский государственный гуманитарный университет
Понятия защита ин формации, безопасность информации, информа ционная безопасность яв ляются базовыми, по скольку их сущность оп ределяет в конечном ито ге политику и деятель ность в сфере защиты ин формации. В то же время эти понятия взаимосвяза ны и взаимообусловлены. Между тем и в норматив ных документах, и в науч ной литературе нет еди ных подходов к определе нию данных понятий, а, следовательно, и к рас крытию их сущности, ибо определения должны в концентрированном виде выражать сущность по нятий. В первую очередь это относится к понятию защита информации, где разброс мнений наиболее значителен. При этом различия касаются как со держательной части понятия, так и способа ее реа лизации.
По содержательной части защита информации рассматривается как: предупреждение несанкцио нированного доступа к информации; создание ус ловий, ограничивающих распространение инфор мации; ограждение права собственника на владе ние и распоряжение информацией; предотвраще ние утечки, хищения, утраты, несанкционирован ного уничтожения, копирования, модификации, искажения, блокирования, разглашения инфор мации, несанкционированных и непреднамерен ных воздействий на нее; сохранение полноты, на дежности, целостности, достоверности, конфиден-,. циальности информации и т.д.
Способом реализации содержательной части понятия одни авторы называют совокупность ме-Si/роприятий, методов и средств, другие -деятель ность, у третьих он вообще отсутствует.
Методологической основой для раскрытия сущности и определения понятия защиты инфор мации должно быть определение понятия защита в целом, безотносительно к предмету защиты.
В толковых словарях термин защита интерпре тируется двояко: как процесс охраны, сбережения, спасения от кого, чего-нибудь неприятного, враж дебного, опасного и как совокупность методов, средств и мер, принимаемых для предотвращения, предупреждения чего-то. Таким образом, содержа тельная часть в этих определениях по смыслу сов падает - это предотвращение, предупреждение че го-то опасного, враждебного. Если соотнести это положение с защитой информации, то самым опас ным для собственника информации является нару шение установленного статуса информации, и поэ тому содержательной частью защиты должно быть , предотвращение такого нарушения.
Нарушение статуса любой информации заклю-
чается в нарушении ее физической сохранности вообще либо у данного собственника (в полном или частичном объеме), структурной целостно сти, доступности для правомочных пользова телей. Нарушение стату са конфиденциальной информации, в том числе составляющей государ ственную тайну, допол нительно включает в се бя нарушение ее конфи денциальности (закры-тости для посторонних лиц).
Нарушение статуса информации обусловлено ее уязвимостью, которая означает неспособность информации самостоятельно противостоять деста билизирующим воздействиям, сохранять при та ких воздействиях свой статус.
Но уязвимость информации - понятие собира тельное, она не существует вообще, а проявляется (выражается) в различных формах. В научной ли тературе и нормативных документах не сформиро вался термин форма проявления уязвимости ин формации, но самих конкретных формназывается множество. При этом значительное количество пе речисляемых форм являются синонимами или раз новидностями одних и тех же явлений, некоторые не могут быть отнесены к формам по своей сущно сти.
Представляется, что к формам проявления уяз вимости информации, выражающим результаты дестабилизирующего воздействия на информа цию, должны быть отнесены:*)
- хищение носителя информации или отобра женной в нем информации (кража);
- потеря носителя информации (утеря);
- несанкционированное уничтожение носителя информации или отображенной в неминформации (разрушение);
- искажение информации (несанкционирован ное изменение, несанкционированная модифика ция, подделка, фальсификация);
- блокирование информации;
- разглашение информации (несанкциониро ванное распространение, раскрытие)
Хищение информации часто ставится в один ряд с ее несанкционированным копированием, размножением, съемом, перехватом. Однако пос ледние являются не формами проявления уязви мости информации, а способами хищения. ,
Термины модификация, подделка, фальсифи кация не совсем адекватны термину искажение, они имеют нюансы, но суть их одна и та же - не санкционированное частичное или полное измене-ниепервоначальной информации.
Та или другая форма уязвимости информации
*) В скобках даны существующие варианты названий форм
16 Безопасность информационных технологий, 1999. .№ 1
А. И. Алексенцев. Сущность и соотношение понятий "защита информации"...
может реализоваться при преднамеренном или случайном, непосредственном или опосредован ном дестабилизирующем воздействии различны ми способами на носитель информации или саму информацию со стороны определенных источни ков воздействия.
Но результатами проявления форм уязвимости информации могут быть либо утрата, либо утечка информации, либо одновременно то и другое. ^
К утрате как конфиденциальной, так и защи щаемой части открытой информации приводят хи щение и потеря носителей информации, несанкци онированное уничтожение носителей информации или только отображенной в них информации, ис кажение и блокирование информации. Утрата мо жет быть полной или частичной, безвозвратной или временной (при блокировании информации), но в любом случае она наносит ущерб собственнику информации.
Термин утечка информации, вероятно, не са мый благозвучный, однако он более емко, чем дру гие термины, отражает суть явления, к тому же он давно уже закрепился в научной литературе и нор мативных документах. Правда, единого подхода к определению этого термина нет. Наиболее распро-странные определения в обобщенном виде сводят ся либо к неправомерному (неконтролируемому) выходу конфиденциальной информации за преде лы организаций и круга лиц, которым эта инфор мация доверена, либо к несанкционированному за-владению конфиденциальной информацией сопер ником. При этот термин конфиденциальная ин формация иногда неправомерно заменяется терми ном защищаемая информация.
Первый вариант не раскрывает в полной мере сущности утечки, поскольку он не принимает во внимание последствий неправомерного выхода конфиденциальной информации. А они могут быть двоякими: или информация попала вруки лиц, не имеющих к ней санкционированного дос тупа, или не попала. Например, потерянный носи тель конфиденциальной информации означает не правомерный выход информации за пределы лиц, имеющих к ней доступ, но он может попасть в чу жие руки, а может быть и прихвачен мусороубо рочной машиной и уничтожен в установленном для мусора порядке. В последнем случае утечки информации не происходит.
Второй вариант утечку информации связыва ет с неправомерным завладением конфиденци альной информацией только соперником. В та ком варианте, к примеру, средства массовой ин формации, которым нередко поставляют или они сами добывают конфиденциальную информа цию, должны рассматриваться в качестве сопер ников собственника информации, в этом случае настоящий соперник получает информацию пра вомерно, через СМИ.
В то же время утечка информации не означает получение ее только лицами, не работающими на предприятии, к утечке приводит и несанкциониро ванное ознакомление с конфиденциальной инфор мацией лиц данного предприятия.
Исходя из изложенного, можно сформулиро вать следующее определение:
Утечка информации - неправомерный выход конфиденциальной информации за пределы защи щаемой зоны ее функционирования или установ ленного круга лиц, результатом которого является получение информации лицами, не имеющими к ней санкционированного доступа.
Термин утечка информации нередко, в том чис ле и в нормативных документах, заменяется или отождествляется с терминами разглашение инфор мации, распространение информации и даже пере дача информации. Такой подход представляется неправомерным. Термин разглашение информа ции означает несанкционированное доведение конфиденциальной информации до потребителей, не имеющих права доступа к ней, таким образом, он предполагает, что разглашение исходит от кого-то, осуществляется кем-то. Результатом разглаше ния является утечка информации, но утечка не сводится только к разглашению. Термин распро странение применительно к конфиденциальной информации без слов несанкционированное или необоснованное ничего не выражает, поскольку распространение информации может быть и обос нованным, к тому же он опять-таки предполагает, что информация исходит от кого-то. Термин пере дача информации говорит сам за себя.
Помимо разглашения, утечка может произой ти и в результате потери и хищения носителя кон фиденциальной информации, а также хищения отображенной в носителе информации при сохран ности носителя у собственника (владельца). Может произойти не означает, что произойдет. Выше уже отмечалось, что потеря носителя не всегда приво дит к утечке информации. Хищение конфиденци альной информации также не всегда связано с по лучением ее лицами, не имеющими к ней доступа. Имелось немало случаев, когда хищение носите лей конфиденциальной информации осуществля лось у коллег по работе допущенными к этой ин формации лицами с целью подсидки, причинения вреда коллеге. Такие носители, как правило, унич тожались лицами, похитившими их. Но в любом случае потеря и хищение если и не приводят к утечке информации, то создают угрозу утечки. По этому можно сказать, что к утечке конфиденци альной информации приводит ее разглашение и могут привести хищение и потеря. Сложность со стоит в том, что зачастую невозможно определить, во-первых, сам факт разглашения или хищения информации при сохранности носителя информа ции у собственника (владельца), во-вторых, попала ли информация вследствие ее хищения или потери посторонним лицам. При этом не следует отожде ствлять хищение с разглашением, как это иногда делается. Хищение может привести и часто приво дит к разглашению и в последнем случае выступа ет в роли опосредованного способа разглашения, но, во-первых, результатом хищения не всегда бы вает разглашение, во-вторых, разглашение конфи денциальной информации осуществляется не только посредством ее хищения.
Безопасность информационных технологий, 1999. ,№ 1 17
Специальный выпуск"
Утрата и утечка информации могут рассматри ваться как виды уязвимости информации.
Суммируя соотношение форм и видов уязвимо сти защищаемой информации, можно констатиро вать:
1.Формы проявления уязвимости информации выражают результаты дестабилизирующего воз действия на информацию, а виды уязвимости - ко нечный суммарный итог реализации форм уязви мости.
2.Утрата информации включает в себя, по срав нению с утечкой, большее число форм проявления уязвимости информации, но она не поглощает утечку, т.к., во-первых, не все формы проявления уязвимости информации, которые приводят или могут привести к утечке, совпадают с формами, приводящими к утрате, во-вторых, если к утрате информации приводит хищение носителей, то к утечке может привести хищение и носителей, и отображенной в них информации при сохранности носителей.
3. Наиболее опасными формами проявления уязвимости конфиденциальной информации явля ются потеря, хищение и разглашение - первые две одновременно могут привести и к утрате, и к утеч ке информации, вторая (хищение информации при сохранности носителя) и третья могут не обна ружиться со всеми вытекающими из этого послед ствиями.
4. Неправомерно отождествлять виды и отдель ные формы проявления уязвимости информации (утрата^потеря, утрата= хищение, утечка=разгла-шение (распространение), заменять формы прояв ления уязвимости информации способами дестаби лизирующего воздействия на информацию, а так же ставить в один ряд формы и виды уязвимости защищаемой информации, как это, в частности, сделано в законе "Об информации, информатиза ции и защитой нформации", где одной из целей за щиты названо: предотвращение утечки, хищения, утраты, искажения, подделки информации.
Поскольку нарушение статуса информации вы ражается в различных формах проявления уязви мости информации, а все формы сводятся к двум видам уязвимости, содержательную часть понятия защита информации можно определить как пре дотвращение утраты и утечки конфиденциальной информации и утраты защищаемой открытой ин формации.
Вторая составляющая сущности защиты ин формации - способ реализации содержательной части - в толковых словарях, как уже отмечалось, представлена как процесс или как совокупность методов, средств и мероприятий.
Защита информации включает в себя опреде ленный набор методов, средств и мероприятий, од нако ограничивать способ реализации только этим было бы неверно. Защита информации должна быть системной, а в систему помимо методов, средств и мероприятий входят и другие компонен ты: объекты защиты, органы защиты, пользовате ли информации. При этом защита не должна пред ставлять собой нечто статичное, а являться непре
рывным процессом. Но этот процесс не осуществ ляется сам по себе, а происходит в результате дея тельности людей. Деятельность же, по определе нию, включает в себя не только процесс, но и цели, средства и результат. Защита информации не мо жет быть бесцельной, безрезультатной и осуществ ляться без помощи определенных средств. Поэто му именно деятельность и должна быть способом реализации содержательной части защиты.
Объединив содержательную часть защиты ин формации и способ реализации содержательнойча-сти, можно сформулировать следующее определе ние:
Защита информации - деятельность по предот вращению утраты и утечки конфиденциальной ин формации и утраты защищаемой открытой инфор мации.
Учитывая, что определение должно быть лако ничным, а термин утрата и утечка защищаемой информации поглощаетвсе формы проявления уязвимости конфиденциальной и защищаемой ча сти открытой информации, можно ограничиться более кратким определением при условии диффе ренцированного его преломления в практической работе: Защита информации - деятельность по предотвращению утраты и утечки защищаемой информации.
'—" А теперь проанализируем определение этого понятия, содержащееся в ГОСТ Р50922-96 "Защи та информации. Основные термины и определе ния", поскольку это определение официальное, имеющее в смысловом значении обязательный ха рактер. Оно сформулировано так: Защита инфор мации - деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.
Как видно, это определение совпадает с предло женным по способу реализации содержательной части защиты и по одной из ее составляющих -предотвращению утечки защищаемой информа ции. Однако определение утечки в ГОСТе дано дру гое - оно не сформулировано отдельно, а вмонтиро вано в определение термина Защита информации от утечки, которое звучит так: Защита информа ции от утечки: деятельность по предотвращению неконтролируемого распространения защищаемой информации от ее разглашения, несанкциониро ванного доступа к защищаемойинформации и от получения защищаемой информации (иностран ными} разведками. Из этого определения вытека ет, что утечка информации - это неконтролируе мое распространение защищаемой информации.
Неконтролируемое распространение можно по смыслу приравнять к неправомерному выходу ин формации за пределы защищаемой зоны ее функ ционирования или установленного круга лиц. Но если в предложенном в данной статье определении утечки далее обозначен результат такого выхода -получение информации лицами, не имеющими к ней санкционированного доступа, то в стандарте неконтролируемое распространение выступает уже как результат, к которому приводят разглаше-
18 Безопасность информационных технологий, 1999. № 1
А. И. Алексенцев. Сущность и соотношение понятий "защита информации"...
ние, получение информации разведками и несанк ционированный доступ к ней. Т.е., в первом случае неконтролируемое распространение приводит к несанкционированному получению, во втором -все наоборот. Но различия не ограничиваются этим. Вызывает недоумение, почему в один ряд по ставлены разглашение, несанкционированный до ступ к информации и ее получение. Разве несанк ционированный доступ к информации не может привести к ее разглашению и получению? Если нет, то как он влияет на неконтролируемое распро странение информации? Только как возможность с его помощью похитить ее. Но хищение в итоге опять приводит к получению информации. С дру гой стороны, разве разглашение информации не приводит к ее получению иностранными разведка ми и не только ими?
Такая путаница в ГОСТе вызвана тем, что на одну доску поставлены понятия с разными значе ниями: форма проявления уязвимости защищае мой информации (разглашение), механизм полу чения информации (несанкционированный дос туп) и результат неконтролируемого распростране ния информации (получение разведками).
По второму компоненту содержательной части защиты информации предложенное в данной ста тье и гостированное определения расходятся и по формулировке, и по существу. В статье - это пре дотвращение утраты защищаемой информации, В ГОСТе - предотвращение несанкционированных и непреднамеренных воздействий на защищаемую информацию. Таким образом, если в первой части определения содержательной части ГОСТ называ ет вид уязвимости информации (утечку), то во вто рой - не вид (утрату), а воздействия, которые могут привести к этому виду уязвимости. Конечно, утра та не может произойти без несанкционированных или непреднамеренных воздействий на информа цию, но зачем понадобился разный подход к обо значению двух видов уязвимости информации, по чему один называется, другой подразумевается?
Отчасти это объясняется, вероятно, тем, что ре зультаты воздействия на информацию ГОСТ не сводит только к ееутрате. Это видно из расшифров ки понятий несанкционированного и непреднаме ренного воздействий на информацию.
К несанкционированному воздействию ГОСТ относит воздействие на защищаемую информацию с нарушением установленных прав или правил на изменение информации, приводящее к искаже нию, уничтожению, копированию, блокированию доступа к информации, а также к утрате, уничто жению или сбою функционирования носителя ин формации.
Непреднамеренное воздействие определяется ГОСТом как воздействие на защищаемую инфор мацию ошибок пользователя информацией, сбоя технических и программных средств информаци онных систем, а также природных явлений или иных нецеленаправленных на изменение инфор мации воздействий, связанных с функционирова нием технических средств, систем или с деятельно стью людей, приводящих к искажению, уничто
жению, копированию, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.
Таким образом, результатом воздействия на информацию или ее носитель являются и вид уяз вимости (утрата), и формы проявления уязвимости (искажение, уничтожение, блокирование), и спо соб воздействия (копирование). Если в данном слу чае копирование заменяет хищение, то это невер но, поскольку есть и другие способы хищения. К тому же непонятно, в чем смысл в определении по нятия отделять носитель информации от самой ин формации, ведь в итоге названные утрата и унич тожение носителя (без учета неправомерности по становки их в один ряд) являются одновременно утратой и уничтожением отображенной в них ин формации, а сбой функционирования носителя приводит к блокированию информации.
Может показаться, что все это - частности. Но определение любого понятия, помимо всего проче го, требует точности формулировки. _
С понятием защиты информации тесно связано понятие безопасности информации.
Термин безопасность информации имеет двой ное смысловое значение, его можно толковать и как безопасность самой информации, и как отсут ствие угроз со стороны информации субъектам ин формационных отношений.При этом безопасность самой информации также не вписываетсяв одно значное понимание. С одной стороны, это может означать безопасность информации с точки зрения изначальной полноты и надежности информации, с другой стороны, — защищенность установленного статус-кво информации.
В нормативных документах и литературе безо пасность информации рассматривается только в разрезе ее защищенности, и это, вероятно, оправ дано при наличии термина информационная безо пасность.
Существует несколько определений понятия безопасность информации. При общем подходе к безопасности информации как состоянию защи щенности (или защиты) информации эти определе ния существенно различаются между собой содер жательной частью - защищенности от чего. Сюда относят: от внутренних и внешних угроз; от утеч ки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (поддел ки), несанкционированного копирования, блоки рования информации и т.п.; от случайных или преднамеренных несанкционированных воздейст вий на информацию или несанкционированного ее получения; от случайного или преднамеренного доступа лиц, не имеющих права на получение ин формации, ее раскрытие, модификацию или раз рушение, и др.
Не вызывает возражений подход к определе нию безопасности информации как к состоянию защищенности информации, ибо сам термин безо пасность означает отсутствие опасностей, что опре деленным образом корреспондируется с термином состояние защищенности.
Вторую часть определения можно сформулиро-
Безопасность информационных технологий, 1999. № 1 19
Специальный выпуск
вать и как от воздействий, нарушающих ее статус, и как от утраты и утечки, поскольку в конечном итоге они выражают одно и то же, т.к. предотвра щение утраты и утечки информации осуществля ется посредством предотвращения дестабилизиру ющих воздействий на информацию. Первый вари ант представляется более предпочтительным, т.к. непосредственной целью защищенности информа ции является противодействие дестабилизирую щим воздействиям.
Из определений понятий защита информации и безопасность информации вытекает и соотноше ние между ними: защита информации направлена на обеспечение безопасности информации или, другими словами, безопасность информации обес печивается с помощьюее защиты.
Понятие информационная безопасность в науч ной литературе сначала отождествлялось с поняти ем безопасность информации. Затем к этому приба вилось или это заменилось на защищенность субъе ктов информационных отношений от негативных информационных воздействий. В различных опре делениях присутствуют те или другие нюансы, но они не меняют сути названных подходов. Такое толкование информационной безопасности пред ставляется неполным. Методологической основой определения этого понятия должно быть отнесение его не к самой информации, хотя информационная безопасность и сопряжена с информацией, а к субъ ектам информационной среды - физическим и юридическим лицам, участвующим в информаци онном процессе. Из этого, кстати, следует, что в практическом преломлении информационная безо пасность не существует вообще, безотносительно к субъекту информационной среды, именно субъект диктует показатели такой безопасности. Это отно сится не только к конкретным субъектам, но и к личности, обществу и государству в целом.
Смысловое содержание понятия информацион ная безопасность предполагает и в какой-то мере предопределяет включение в него трех составляю щих.
Первой составляющей является удовлетворе ние информационных потребностей субъектов, включенных в информационную среду. Здравый смысл подсказывает, что не может быть обеспечена информационная безопасность субъекта без нали чия у него необходимой информации. Информаци онные потребности различных субъектов не одина ковы, однаков любом случае отсутствие необходи мой информации может иметь и, как правило, име ет отрицательные последствия. Эти последствия могут носить различный характер, их тяжесть за висит от состава отсутствующей информации.
Необходимая для удовлетворения информаци онных потребностей информация должна отвечать определенным требованиям. Во-первых, информа ция должна быть относительно полной. Относи тельно потому, что абсолютно полной информации ни один субъект иметь не может. Полнота инфор мации характеризуется ее достаточностью для принятия правильных решений. Во-вторых, ин формация должна быть достоверной, ибо искажен
ная информация приводит к принятию неправиль ных решений. В-третьих, информация должна быть своевременной, т.к. необходимые решения эффективны лишь тогда, когда они принимаются вовремя.
Но требования полноты, достоверности и свое временности информации относятся не только к ее первоначальному статусу. Эти требования имеют силу на все время циркулирования информации, потому что их нарушение на стадии последующего использования информации также может привес ти к неправильным решениям или вообще к невоз можности принятия решений, как и нарушение статуса конфиденциальности может обесценить информацию. Поэтому информация должна быть защищена от воздействий, нарушающих еестатус. А это относится к сфере безопасности информации. Стало быть, обеспечение безопасности информа ции должно являться второй составляющей ин формационной безопасности.
К принятию неверных решений может привес ти не только отсутствие необходимой информации, но и наличие вредной, опасной для субъекта ин формации, которая чаще всего целенаправленно навязывается. Это требует обеспечения защиты субъектов информационных отношений от нега тивного информационного воздействия, что долж но являться третьей составляющей информацион ной безопасности.
При таком подходе можно сформулировать следующее определение:
Информационная безопасность - состояние ин формационной среды, обеспечивающее удовлетво рение информационных потребностей субъектов информационных отношений, безопасность ин формации и защиту субъектов от негативного ин формационного воздействия.
При этом под информационной средой, соглас но закону Об участии в международном информа ционном обмене, понимается сфера деятельности субъектов, связанная с созданием, преобразовани ем и потреблением информации. В законе дано и определение информационной безопасности как состояния защищенности информационной среды общества, обеспечивающего ее формирование, ис пользование и развитие в интересах граждан, орга низаций, государства.
Этому определению не хватает конкретности. В него можно вписать и содержательную часть пред ложенного определения, а можно свести его только к безопасности информационных систем, что не правомерно, т.к. информационная безопасность не ограничивается безопасностью информационных систем.
Из предложенных в данной статье определений понятий защита информации, безопасность ин формации, информационная безопасность видно, что существует прямая связь и зависимость между понятиями защита информации - безопасность информации, безопасность информации - инфор мационная безопасность и опосредованная - меж ду понятиями защита информации - информаци онная безопасность.
20 Безопасность информационных технологий, 1999. № 1
|
