Наши лекции Компы Криптография / 1.2 - лек 1

21

МОТИВЫ ПРЕДНАМЕРЕННЫХ УГРОЗ

Данные исследований Computer Security Institute и ФБР

			Характер угроз
Основные мотивы		модификация		доступ к	заявка на
		данных		информации	обслуживание
Любопытство				95%
Вандализм		92%			78%
Месть		95%			75%
Меркантильность					75%
Конкуренция		71%		87%	62%
Разведка				100%
Военное превосходств		75%		95%	69%

22

КОМПЬЮТЕРНАЯ ПРЕСТУПНОСТЬ В РОССИИ

ОБЩАЯ СТАТИСТИКА ЗАФИКСИРОВАННЫХ ПРЕСТУПЛЕНИЙ

2001 год	2002 год	2003 год	2004 год
3320	6049	10 920	более 13000

НАИБОЛЕЕ РАСПРОСТРАНЕННЫЕ ПРЕСТУПЛЕНИЯ связаны с несанкционированным выходом в интернет с использованием реквизитов реальных пользователей

ЦЕЛИ: Похищение денежных средств с счетов добывание секретной и конфиденциальной информации, в т.ч. доступ к банковской и коммерческой тайне.

данные из доклада первого заместителя начальника ГУСТМ МВД России на «ИНФОФОРУМЕ-5» и интервью директора ФСТЭК

(«Информационная безопасность», №6, 2004)

23

ВЫВОДЫ ОБ ИСТОЧНИКАХ УГРОЗ

ИСТОЧНИКИ ВНУТРЕННИХ УГРОЗ

• Случайные: ошибки и небрежность персонала, технические сбои и неполадки

• Преднамеренные: обиженные сотрудники, администраторы, «продвинутые» пользователи, технический персонал, уволенные сотрудники

ИСТОЧНИКИ ВНЕШНИХ УГРОЗ

•Случайные: влияние окружающей среды, стихийные бедствия

•Преднамеренные: Хакеры, шпионы, террористы, вандалы, охотники за промышленными секретами, конкурирующие компании, профессиональные преступники

Всовокупности доминируют внутренние угрозы – по разным оценкам они составляют от 60% до 80%. По некоторым данным непреднамеренные ошибки составляют до 65 %.

24

Развитие проблематики компьютерной безопасности: 90-е годы

Направления работ в области защиты информации

•Развитие встроенных средств защиты в промышленных

программных продуктах

•Обеспечение безопасности сетевого и межсетевого взаимодействия

•Развитие методов борьбы с компьютерной преступностью

•Развитие криптографических средств и технологий ЭЦП

•Усиление внимания к «субъективному фактору», развитие

гуманитарно-правовой направленности, противодействие «инсайду»

25

Развитие проблематики компьютерной безопасности: 90-е годы

Общие выводы

Развитие CIA-модели для представления основных свойств и возможностей, гарантирующих безопасность, новые аспекты:

аутентификация (Authentication) неотказуемость (Nonrepudation)

восстановление (Restoration)

Появление нового понятия информационная безопасность

(information security)

Осознание комплексного подхода к решению задач обеспечения ИБ

Сформированы основы теории обеспечения ИБ как научного направления

Компьютерная безопасность – как научное направление на стыке

Information security и Computer science

26

УРОВНИ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

ЗАКОНОДАТЕЛЬНЫЙ УРОВЕНЬ. Законы и нормативные акты действуют на всех субъектов информационных отношений независимо любой организационной принадлежности в пределах страны и более широком масштабе.

АДМИНИСТРАТИВНЫЙ УРОВЕНЬ распространяется на всех субъектов в пределах отрасли, предприятия (включает приказы, нормативные документы руководства, формирующие – политику безопасности).

ПРОЦЕДУРНЫЙ УРОВЕНЬ ориентирован на конкретных людей или группы по категориям персонала организации (включает меры по управлению персоналом, физическую защиту, поддержание работоспособности информационных систем, реагирование на нарушения ИБ, планирование восстановительных работ)

ПРОГРАММНО-ТЕХНИЧЕСКИЙ УРОВЕНЬ относится к оборудованию и программному обеспечению

27

ОСНОВНЫЕ ПРИНЦИПЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

НЕПРЕРЫВНОСТЬ ЗАЩИТЫ. Элемент информации должен быть защищен во всех своих формах, постоянно и на любом месте.

СИСТЕМНОСТЬ. Должны быть учтены в максимальной степени все взаимосвязанные, взаимодействующие и изменяющиеся во времени элементы, условия и факторы.

РАЗУМНАЯ ДОСТАТОЧНОСТЬ. Затраты на защиту информации должны соответствовать ценности защищаемой информации, и не превышать потенциально возможный ущерб в случае нарушения информационной безопасности.

КОМПЛЕКСНОСТЬ. Обеспечение информационной безопасности достигается путем применения комплексного подхода с использованием физических, технических, правовых, организационных и морально- этических средств.

ЭШЕЛОНИРОВАННОСТЬ ЗАЩИТЫ. Защита информации должна осуществляться на всех уровнях, «прорыв» на одном из уровней не должен привести к разрушению всей системы защиты.

ГИБКОСТЬ. Обеспечивает возможность создания СЗИ с учетом адаптации к изменениям.

ПРОСТОТА ПРИМЕНЕНИЯ СРЕДСТВ ЗАЩИТЫ Не должны существенно усложнять работу, быть понятными пользователю.

28

Развитие проблематики компьютерной безопасности: XXI век

Особенности ИТ-среды и связанные с ними проблемы безопасностиВысокая степень интеграции многочисленных ИС требует .

поиска комплексных решений в области разработки методов обеспечения ИБ с учетом особенностей ОС, многоуровневого

сетевого взаимодействия, прикладных программ, сервисных

приложений…

Усложнение ИТ передачи, обработки и хранения информации в сочетании с высокой доступностью – требования к надежности, устойчивости к многочисленным атакам, обеспечению высокой доступности.

Широкий спектр аппаратных платформ, развитие мобильной и беспроводной связи – расширяется спектр угроз, требуются увязка всех особенностей

29

Развитие проблематики компьютерной безопасности: XXI век

Разнообразие сетевых технологий (архитектура, протоколы, службы, сервисы) – расширение возможности организации скрытого взаимодействия с сохранением анонимности, повышение требований к безопасности в недоверенной и агрессивной среде.

Большое количество национальных и м/н организаций, координирующих и стандартизирующих ИТ-деятельность: разработка

оборудования и ПО, требования КБ (протоколы взаимодействия IETF, механизмы защиты ISO, оценка защищенности IEEE/ACM)

Появление детальных и высокоразвитых стандартов: средств сетевой безопасности (~ неск. тыс. документов *rfc), оценки защищенности (ISO 15408), оргтребований к технологиям и аудиту ИБ: (ISO 17799, CoBIT

и др.), компьютерному образованию (Computing Curricula 2001, Curriculum Guidelines 2004) Задачи согласования требований, адаптация к национальным стандартам, увязка соответствующих решений при интеграции

30

Развитие проблематики компьютерной безопасности: XXI век

Появление детальных и высокоразвитых стандартов в области

средств безопасности м/сетевого взаимодействия (~ нескольких тысяч документов *rfc), оценки защищенности (ISO 15408), оргтребований к технологиям и аудиту ИБ: (ISO 17799, CoBIT и др.), образованию в области

компьютерных наук (Computing Curricula 2001, Curriculum Guidelines 2004)

Задачи согласования требований, адаптация к национальным стандартам, увязка соответствующих решений при интеграции

Большое количество несертифицированного иностранного оборудования и ПО, применяемого в в критически важных областях экономики и сфере госуправления - риски экономической и национальной безопасности