[ОИБ] Ответы на вопросы к экзамену. Зима 2014

“ОСНОВЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ”

1.Понятие информации, информационного объекта.

2.Свойства информации.

3.Информационно-технические и информационно-психологические объекты.

4.Структура информационных объектов. Понятие «информационной сферы».

5.Сущность информационной безопасности. Объекты информационной безопасности.

6.Становление и развитие понятия «информационная безопасность». Современные подходы к определению понятия.

7.Определение понятия «информационная безопасность».

8.Сущность и понятие защиты информации. Цели и значение защиты информации.

9.Системы защиты информации. Требования к системе защиты информации.

10.Угрозы информационной безопасности. Понятие уязвимости.

11.Коммерческая тайна. Профессиональная тайна. Персональные данные.

12.Классификация угроз информационной безопасности. Базовые угрозы информационной безопасности.

13.Место и роль информационной безопасности в системе национальной безопасности Российской Федерации.

14.Понятие и современная концепция национальной безопасности. Система национальной безопасности. Военная безопасность. Экономическая безопасность.

15.Место и роль информационной безопасности в системе национальной безопасности.

16.Основные положения закона РФ «Об информации, информационных технологиях и защите информации».

17.Основные нормативные правовые акты в области информационной безопасности и защиты информации. Доктрина информационной безопасности.

18.Угрозы информационной безопасности. Принципы обеспечения информационной безопасности. Общие методы обеспечения информационной безопасности.

19.Деятельность по разработке и (или) производству средств защиты конфиденциальной информации.

20.Понятие государственной тайны.

21.Общие сведения о стандартах в информационной безопасности. «Оранжевая книга».

22.Руководящие документы Федеральной службы по техническому и экспортному контролю (РД ФСТЭК). Основные положения РД ФСТЭК.

1.Понятие информации, информационного объекта.

Информация - сведения о чем либо независимо от формы их представления.

С точки зрения философии информация - свойство материи и отображает ее свойства (состояние или способ взаимодействия) и количество (меру) путём взаимодействия.

Информация - полезные данные (текст на русском).

Информация - сведения, сообщения, данные независимо от формы их представления (Закон об информации, ИТ и защите информации).

Информационный объект это представление объекта предметной области в информационной системе, определяющее его структуру, атрибуты, ограничение целостности и, возможно, поведение.

Информационный объект - сущность, обладающая набором индентифицирующих свойств, отличающим ее от набора других аналогичных сущностей.

Информационные объекты - объекты материального мира, реализующие функции получения, обработки, хранения и передачи информации ( Доктрина ИБ).

Субъект выполняет действия над объектом.

Информационная система - совокупность содержащейся в БД информации и обеспечивающая ее обработку информационных технологий и технических средств.

Структуру ИС составляет совокупность отдельных ее частей, называемых подсистемами.

2.Свойства информации.

Основные:

-объективность (не зависит от чьего-либо мнения)

-достоверность (отражает истинное положение дел)

-полнота ( достаточность информации для принятия решений)

-актуальность ( существенна для настоящего времени)

-ценность (полезность, значимость)

-понятность (ясность, доступность для понимания)

Второстепенные:

-атрибутивность (дискретность, непрерывность)

-динамичность (изменяемость во времени)

>Копирование

>Передача

>Перевод

>Перенос

>Старение ( физическое, моральное)

-практические свойства ( информационный объем и информационная плотность)

3 Информационно-технические и информационнопсихологические объекты.

В связи с появлением и ускоренным развитием средств массовой информации резко усилилась роль общественного мнения, которое стало влиять колоссальным образом

на политические процессы в обществе, особенности функционирования информационно-

психологической среды общества. Поэтому система формирования общественного мнения

также является одним из основных объектов информационно-психологического обеспечения.

Психика человека - информационно-психологическое противоборство.

Объектом информационного противоборства может стать любой компонент или сегмент информационно-психологического пространства, в том числе — следующие виды:

o массовое и индивидуальное сознание граждан; o социально-политические системы и процессы; o информационная инфраструктура;

o информационные и психологические ресурсы.

Под психологическими ресурсами понимаются следующие компоненты информационного пространства [1]:

o система ценностей общества;

oпсихологическая толерантность системы ценностей (устойчивость системы ценностей по отношению к внешним или внутренним деструктивным воздействиям);

o индивидуальное и массовое сознание граждан;

oпсихологическая толерантность сознания граждан (устойчивость сознания граждан к манипулятивному воздействию и вовлечению в противоправную деятельность манипулятивными методами тайного принуждения личности);

o психическое здоровье граждан;

oтолерантность психического здоровья граждан (устойчивость психического здоровья по отношению к внешним или внутренним деструктивным воздействиям).

o Субъекты информационного противоборства: o государства, их союзы и коалиции;

o международные организации;

oнегосударственные незаконные (в том числе — незаконные международные) вооруженные формирования и организации террористической, экстремистской,

радикальной политической, радикальной религиозной направленности; o транснациональные корпорации;

o виртуальные социальные сообщества;

oмедиа-корпорации (контролирующие средства массовой информации и массовой коммуникации — СМИ и МК);

o виртуальные коалиции.

4.Структура информационных объектов. Понятие «информационной сферы».

Информационный объект (ИО) - это сущность , обладающая набором идентификационных свойств , отличающих её от других однотипных сущностей.

- объекты материального мира, реализующие функции получения, обработки, хранения информации (Доктрина)

Имеют определенную структуру, которую можно описать в определенном формате , в котором хранится вся его симантика и симантические связи.

Это условие справедливо, когда вся информация об объекте хранится в самом объекте (Самодостаточность).

Структуру ИО можно опред. на совокупность идентиф. свойств(размеры,цвет и т.д.), описывающих его с разных сторон

Информационная сфера - представляет собой совокупность информации, информационной инфраструктуры субъектов, осуществляющих сбор, формирование, распространение и использование информации, а также системы регулирования, возникающих при этих отношениях.

Информационная сфера - среда деятельности субъектов, связанных с созданием, преобразованием и потреблением(?! использованием!?) информации.

5.Сущность информационной безопасности. Объекты информационной безопасности.

Политическая , экономическая, военная,личная, эокологическая безопасность.

ИБ - связь между ними

ИБ - свойство информации сохранять свою конфидецеальность, целостность и доступность.

ИБ - состояние защищенности жизненно важных интересов личности, общества и государства от внутренних и внешних угроз. ( согласно ФЗ от 28 декабря 2010)

Основные объекты ИБ:

-Личность (интересы и свободы)

-Общество ( материальные и духовные ценности)

-Государство (конституционный строй, суверинитет, территориальная целостность)

Основные субъекты ИБ:

-Государство ( через органы законодательной, исполнительной и судебной власти)

-Общественные и иные организации

-Граждане, которые в соответствии с законодательством имеют свои права и обязанности по обеспечению информационной безопасности

Можно выделить несколько уровней обеспечения ИБ:

-Личностный ( организации и гражданское общество)

-На государственном уровне

Главную роль в обеспечении ИБ играет государство.

Основной регулятор - право.

6.Становление и развитие понятия «информационная безопасность». Современные подходы к определению понятия.

ИБ - явление социальное.

Опишем подробнее два класса, демонстрирующие особенности современного подхода к ИБ.

Класс "Приватность" содержит 4 семейства функциональных требований.

Анонимность. Позволяет выполнять действия без раскрытия идентификатора пользователя другим пользователям, субъектам и/или объектам. Анонимность может быть полной или выборочной. В последнем случае она может относиться не ко всем операциям и/или не ко всем пользователям (например, у уполномоченного пользователя может оставаться возможность выяснения идентификаторов пользователей).

Псевдонимность. Напоминает анонимность, но при применении псевдонима поддерживается ссылка на идентификатор пользователя для обеспечения подотчетности или для других целей.

Невозможность ассоциации. Семейство обеспечивает возможность неоднократного использования информационных сервисов, но не позволяет ассоциировать случаи использования между собой и приписать их одному лицу. Невозможность ассоциации защищает от построения профилей поведения пользователей (и, следовательно, от получения информации на основе подобных профилей).

Скрытность. Требования данного семейства направлены на то, чтобы можно было использовать информационный сервис с сокрытием факта использования. Для реализации скрытности может применяться, например, широковещательное распространение информации, без указания конкретного адресата. Годятся для реализации скрытности и методы стеганографии, когда скрывается не только содержание сообщения (как в криптографии), но и сам факт его отправки.

Еще один показательный (с нашей точки зрения) класс функциональных требований - "Использование ресурсов", содержащий требования доступности. Он включает три семейства.

Отказоустойчивость. Требования этого семейства направлены на сохранение доступности информационных сервисов даже в случае сбоя или отказа. В ОК различаются активная и пассивная отказоустойчивость. Активный механизм содержит специальные функции, которые активизируются в случае сбоя. Пассивная отказоустойчивость подразумевает наличие избыточности с возможностью нейтрализации ошибок.

Обслуживание по приоритетам. Выполнение этих требований позволяет управлять использованием ресурсов так, что низкоприоритетные операции не могут помешать высокоприоритетным.

Распределение ресурсов. Требования направлены на защиту (путем применения механизма квот) от несанкционированной монополизации ресурсов.

Подробнее: http://www.securitylab.ru/informer/240650.php

7.Определение понятия «информационная безопасность».

ИБ - состояние защищенности жизненно важных интересов личности, общества и государства от внутренних и внешних угроз. ( согласно ФЗ от 28 декабря 2010)

ИБ - состояние (качество) определённого объекта (в качестве объекта может выступать информация, данные,ресурсы автоматизированной системы, автоматизированная система, информационная система предприятия, общества, государства и т. п.)[1]; Национальный стандарт РФ «Защита информации. Основные термины и определения» (ГОСТ Р 50922-2006).

ИБ-деятельность, направленная на обеспечение защищённого состояния объекта (в этом значении чаще используется термин «защита информации»).[2] Национальный стандарт РФ «Информационная технология. Практические правила управления информационной безопасностью» (ГОСТ Р ИСО/МЭК 17799—2005).

8.Сущность и понятие защиты информации. Цели и значение защиты информации.

В Доктрине информационной безопасности Российской Федерации термин "информационная безопасность" используется в широком смысле. Имеется в виду состояние защищенности национальных интересов в информационной сфере, определяемых совокупностью сбалансированных интересов личности, общества и государства.

В Законе РФ "Об участии в международном информационном обмене" (закон утратил силу, в настоящее время действует "Об информации, информационных технологиях и о защите информации") информационная безопасность определяется аналогичным образом – как состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государства.

Под информационной безопасностью мы будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Таким образом, правильный с методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем (ИС). Угрозы информационной безопасности – это оборотная сторона использования информационных технологий.

два важных следствия:

1. Трактовка проблем, связанных с информационной безопасностью, для разных категорий субъектов может существенно различаться. Для иллюстрации достаточно сопоставить режимные государственные организации и учебные институты. В первом случае "пусть лучше все сломается, чем враг узнает хоть один секретный бит", во втором – "да нет у нас никаких секретов, лишь бы все работало".

2. Информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации, это принципиально более широкое понятие. Субъект информационных отношений может пострадать (понести убытки и/или получить моральный ущерб) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в работе. Более того, для многих открытых организаций (например, учебных) собственно защита от несанкционированного доступа к информации стоит по важности отнюдь не на первом месте.

Согласно определению информационной безопасности, она зависит не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал. Эта инфраструктура имеет самостоятельную ценность, но нас будет интересовать лишь то, как она влияет на выполнение информационной системой предписанных ей функций.

Обратим внимание, что в определении ИБ перед существительным "ущерб" стоит прилагательное "неприемлемый". Очевидно, застраховаться от всех видов ущерба невозможно, тем более невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба. Значит, с чем-то приходится мириться и защищаться следует только от того, с чем смириться никак нельзя. Иногда таким недопустимым ущербом является нанесение вреда здоровью людей или состоянию окружающей среды, но чаще порог неприемлемости имеет материальное (денежное) выражение, а целью защиты информации становится уменьшение размеров ущерба до допустимых значений.

Основные составляющие информационной безопасности

Информационная безопасность – многогранная, можно даже сказать, многомерная область деятельности, в которой успех может принести только системный, комплексный подход.

Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры.

Поясним понятия доступности, целостности и конфиденциальности.

Доступность – это возможность за приемлемое время получить требуемую информационную услугу. Под целостностью подразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.

Конфиденциальность – это защита от несанкционированного доступа к информации.

Информационные системы создаются (приобретаются) для получения определенных информационных услуг. Если по тем или иным причинам предоставить эти услуги пользователям становится невозможно, это, очевидно, наносит ущерб всем субъектам информационных отношений. Поэтому, не противопоставляя доступность остальным аспектам, мы выделяем ее как важнейший элемент информационной безопасности.

Особенно ярко ведущая роль доступности проявляется в разного рода системах управления – производством, транспортом и т.п. Внешне менее драматичные, но также весьма неприятные последствия – и материальные, и моральные – может иметь длительная недоступность информационных услуг, которыми пользуется большое количество людей (продажа железнодорожных и авиабилетов, банковские услуги и т.п.).

Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций)). Средства контроля динамической целостности применяются, в частности, при анализе потока финансовых сообщений с целью выявления кражи, переупорядочения или дублирования отдельных сообщений.

Целостность оказывается важнейшим аспектом ИБ в тех случаях, когда информация служит "руководством к действию". Рецептура лекарств, предписанные медицинские процедуры, набор и характеристики комплектующих изделий, ход технологического процесса – все это примеры информации, нарушение целостности которой может оказаться в буквальном смысле смертельным. Неприятно и искажение официальной информации, будь то текст закона или страница Web-сервера какой-либо правительственной организации. Конфиденциальность – самый проработанный у нас в стране аспект информационной безопасности. К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем наталкивается в России на серьезные трудности. Во-первых, сведения о технических каналах утечки информации являются закрытыми, так что большинство пользователей лишено возможности составить представление о потенциальных рисках. Во-вторых, на пути пользовательской криптографии как основного средства обеспечения конфиденциальности стоят многочисленные законодательные препоны и технические проблемы.