Раздел 1

Концепция информационной безопасности

Лекция 1

1.1 Ценность информации

План лекции

1.       Введение в дисциплину

2.       Основные понятия

3.       Ценность информации, подходы к ее измерению

1. Введение в дисциплину

То, что информация имеет ценность, люди осознали очень давно – недаром переписка сильных мира сего издавна была объектом пристального внимания их недругов и друзей. Тогда-то и возникла задача защиты этой переписки от чрезмерно любопытных глаз. Древние пытались использовать для решения этой задачи самые разнообразные методы, и одним из них была тайнопись – умение составлять сообщения таким образом, чтобы его смысл был недоступен никому кроме посвященных в тайну. Есть свидетельства тому, что искусство тайнописи зародилось еще в доантичные времена. На протяжении всей своей многовековой истории, вплоть до совсем недавнего времени, это искусство служило немногим, в основном верхушке общества, не выходя за пределы резиденций глав государств, посольств и – конечно же – разведывательных миссий. И лишь несколько десятилетий назад все изменилось коренным образом – информация приобрела самостоятельную коммерческую ценность и стала широко распространенным, почти обычным товаром. Ее производят, хранят, транспортируют, продают и покупают, а значит – воруют и подделывают – и, следовательно, ее необходимо защищать. Современное общество все в большей степени становится информационно–обусловленным, успех любого вида деятельности все сильней зависит от обладания определенными сведениями и от отсутствия их у конкурентов. И чем сильней проявляется указанный эффект, тем больше потенциальные убытки от злоупотреблений в информационной сфере, и тем больше потребность в защите информации. Одним словом, возникновение индустрии обработки информации с железной необходимостью привело к возникновению индустрии средств защиты информации.

·       I этап — до 1916 года — характеризуется использованием естественно возникавших средств информационных коммуникаций. В этот период основная задача информационной безопасности заключалась в защите сведений о событиях, фактах, имуществе, местонахождении и других данных, имеющих для человека лично или сообщества, к которому он принадлежал, жизненное значение.

·       II этап — начиная с 1916 года — связан с началом использования искусственно создаваемых технических средств электро и радиосвязи. Для обеспечения скрытности и помехозащищённости радиосвязи необходимо было использовать опыт первого периода информационной безопасности на более высоком технологическом уровне, а именно применение помехоустойчивого кодирования сообщения (сигнала) с последующим декодированием принятого сообщения (сигнала).

·       III этап — начиная с 1935 года — связан с появлением радиолокационных и гидроакустических средств. Основным способом обеспечения информационной безопасности в этот период было сочетание организационных и технических мер, направленных на повышение защищённости радиолокационных средств от воздействия на их приёмные устройства активными маскирующими и пассивными имитирующими радиоэлектронными помехами.

·       IV этап — начиная с 1946 года — связан с изобретением и внедрением в практическую деятельность электронно-вычислительных машин (компьютеров). Задачи информационной безопасности решались, в основном, методами и способами ограничения физического доступа к оборудованию средств добывания, переработки и передачи информации.

·       V этап — начиная с 1965 года — обусловлен созданием и развитием локальных информационно-коммуникационных сетей. Задачи информационной безопасности также решались, в основном, методами и способами физической защиты средств добывания, переработки и передачи информации, объединённых в локальную сеть путём администрирования и управления доступом к сетевым ресурсам.

·       VI этап — начиная с 1973 года — связан с использованием сверхмобильных коммуникационных устройств с широким спектром задач. Угрозы информационной безопасности стали гораздо серьёзнее. Для обеспечения информационной безопасности в компьютерных системах с беспроводными сетями передачи данных потребовалась разработка новых критериев безопасности. Образовались сообщества людей — хакеров, ставящих своей целью нанесение ущерба информационной безопасности отдельных пользователей, организаций и целых стран. Информационный ресурс стал важнейшим ресурсом государства, а обеспечение его безопасности — важнейшей и обязательной составляющей национальной безопасности. Формируется информационное право — новая отрасль международной правовой системы.

·       VII этап — начиная с 1985 года — связан с созданием и развитием глобальных информационно-коммуникационных сетей с использованием космических средств обеспечения. Можно предположить, что очередной этап развития информационной безопасности, очевидно, будет связан с широким использованием сверхмобильных коммуникационных устройств с широким спектром задач и глобальным охватом в пространстве и времени, обеспечиваемым космическими информационно-коммуникационными системами. Для решения задач информационной безопасности на этом этапе необходимо создание макросистемы информационной безопасности человечества под эгидой ведущих международных форумов.

! Ценность информации ‑ свойство, характеризующее потери владельца данной информации при реализации определенной угрозы, выраженные в стоимостном, временном либо ином эквиваленте.

Проблема защиты вычислительных систем становится еще более серьезной и в связи с развитием и распространением вычислительных сетей, территориально распределенных систем и систем с удаленным доступом к совместно используемым ресурсам. Доступность средств вычислительной техники и, прежде всего, персональных ЭВМ привела к распространению компьютерной грамотности в широких слоях населения, что закономерно привело к увеличению числа попыток неправомерного вмешательства в работу государственных и коммерческих автоматизированных систем как со злым умыслом, так и чисто "из спортивного интереса". К сожалению, многие из этих попыток имеют успех и наносят значительный урон всем заинтересованным субъектам информационных отношений.

Еще одним весомым аргументом в пользу усиления внимания к вопросам безопасности вычислительных систем являются бурное развитие и распространение так называемых компьютерных вирусов, способных скрытно существовать в системе и совершать потенциально любые несанкционированные действия. Особую опасность для компьютерных систем представляют злоумышленники, специалисты - профессионалы в области вычислительной техники и программирования, досконально знающие все достоинства и слабые места вычислительных систем и располагающие подробнейшей документацией и самыми совершенными инструментальными и технологическими средствами для анализа и взлома механизмов защиты.

Информационная безопасность является одним из важнейших аспектов интегральной безопасности, на каком бы уровне мы ни рассматривали последнюю – национальном, отраслевом, корпоративном или персональном.

Для иллюстрации этого положения ограничимся несколькими примерами.

·                В Доктрине информационной безопасности Российской Федерации защита от несанкционированного доступа к информационным ресурсам, обеспечение безопасности информационных и телекоммуникационных систем выделены в качестве важных составляющих национальных интересов РФ в информационной сфере.

·                Потери от хакерской атаки на Металлинвестбанк составили 200 млн руб., что в два раза меньше прибыли, полученной с начала 2016 года.

·                За 4 квартал 2015 года и 1 квартал 2016 года потери банков от хакерских атак превысили 2 млрд рублей. За этот период хакеры покушались еще на 1,5 млрд рублей, но эти атаки удалось отразить.

·                Российская экономика в 2015 году потеряла из-за действий киберпреступников 600 млрд рублей. Об этом рассказал заместитель председателя правления Сбербанка Станислав Кузнецов, передает«Интерфакс». Для сравнения, прибыль самого банка в 2015 году составила 236 млрд рублей. Кузнецов также отметил рост числа хакерских атак на финансовый сектор РФ, на системы дистанционного банковского обслуживания. По его словам, в прошлом году в России зафиксировано 43 тысячи киберпреступлений.

·                Потери мировой экономики от киберпреступности в прошлом году составили не менее $500 млрд. По оценкам финорганизации, в 2018 году ущерб может вырасти до $2 трлн. Сейчас в мире действует не менее 40 млн киберпреступников.

Понятно, что подобных примеров множество.

2. Основные понятия

Под информационной безопасностью  будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Таким образом, правильный с методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем (ИС). Угрозы информационной безопасности – это оборотная сторона использования информационных технологий.

Согласно определению информационной безопасности, она зависит не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал.

В определении ИБ перед существительным "ущерб" стоит прилагательное "неприемлемый". Очевидно, застраховаться от всех видов ущерба невозможно, тем более невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба. Значит, с чем-то приходится мириться и защищаться следует только от того, с чем смириться никак нельзя. Иногда таким недопустимым ущербом является нанесение вреда здоровью людей или состоянию окружающей среды, но чаще порог неприемлемости имеет материальное (денежное) выражение, а целью защиты информации становится уменьшение размеров ущерба до допустимых значений.

Информационная безопасность – многогранная, область деятельности, в которой успех может принести только системный, комплексный подход.

Информационная безопасность – защита конфиденциальности, целостности и доступности информации и поддерживающей инфраструктуры.

·                Доступность: свойство информационных ресурсов, определяющее возможность получения и использования информационных данных авторизованными пользователями в каждый момент времени.

·                Конфиденциальность: доступ к информационным ресурсам только авторизованным пользователям.

·                Целостность: неизменность информации в процессе ее передачи или хранения.

Доступность – возможность за приемлемое время получить требуемую информационную услугу. Под целостностью подразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.

Наконец, конфиденциальность – это защита от несанкционированного доступа к информации.

Информационные системы создаются (приобретаются) для получения определенных информационных услуг. Если по тем или иным причинам предоставить эти услуги пользователям становится невозможно, это, очевидно, наносит ущерб всем субъектам информационных отношений. Поэтому доступность важнейший элемент информационной безопасности.

Особенно ярко ведущая роль доступности проявляется в разного рода системах управления – производством, транспортом и т.п. Внешне менее драматичные, но также весьма неприятные последствия – и материальные, и моральные – может иметь длительная недоступность информационных услуг, которыми пользуется большое количество людей (продажа железнодорожных и авиабилетов, банковские услуги и т.п.).

Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций)). Средства контроля динамической целостности применяются, в частности, при анализе потока финансовых сообщений с целью выявления кражи, переупорядочения или дублирования отдельных сообщений.

Целостность оказывается важнейшим аспектом ИБ в тех случаях, когда информация служит "руководством к действию". Рецептура лекарств, предписанные медицинские процедуры, набор и характеристики комплектующих изделий, ход технологического процесса – все это примеры информации, нарушение целостности которой может оказаться в буквальном смысле смертельным. Неприятно и искажение официальной информации, будь то текст закона или страница Web-сервера какой-либо правительственной организации. Конфиденциальность – самый проработанный у нас в стране аспект информационной безопасности.

Защита информации представляет собой деятельность, направленную на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных (случайных) воздействий на защищаемую информацию.

Возможные объекты воздействия в информационных системах:

·                аппаратное обеспечение;

·                программное обеспечение;

·                коммуникации (обеспечение передачи и обработки данных через каналы связи и коммутационное оборудование);

·                персонал.

3. Ценность информации, подходы к ее измерению

Ценность информации — одно из важных свойств информации, оценка которого зависит от целей процессов ее генерации, рецепции и обработки. Изучается специальными теориями информации, теорией принятия решений, синергетикой.

Ценность информации может быть стоимостной категорией, характеризующей конкретный размер прибыли при ее использовании или размер убытков при ее утрате. Информация часто становится ценной ввиду ее правового значения для фирмы или развития бизнеса, например учредительные документы, программы и планы, договоры с партнерами и посредниками и т.д. Ценность информации может также отражать ее перспективное научное, техническое или технологическое значение.

Информация, имеющая интеллектуальную ценность для предпринимателя, обычно разделяется на два вида:

1.                 Техническая, технологическая: методы изготовления продукции, программное обеспечение, производственные показатели, химические формулы, результаты испытаний опытных образцов, данные контроля качества и т.п.;

2.                 Деловая: стоимостные показатели, результаты исследования рынка, списки клиентов, экономические прогнозы, стратегия действий на рынке и т.п.

Ценная информация охраняется нормами права (патентного, авторского, смежного), товарным знаком или включается в категорию информации, составляющую тайну фирмы.

Таким образом, как правило, всю информацию, циркулирующую внутри организации, можно разделить на две части - открытую и конфиденциальную.

Коммерческая ценность информации, как правило, недолговечна и определяется временем, необходимым конкуренту для выработки той же идеи или ее хищения и воспроизводства, опубликования и перехода информации в категорию общеизвестных. Степень ценности информации и надежность ее защиты находятся в прямой зависимости.

Выявление и регламентация реального состава информации, представляющей ценность для предпринимателя и составляющей тайну фирмы - основополагающие части системы защиты информации. Состав ценной информации фиксируется в специальном перечне, определяющем период (срок) и уровень (гриф) ее конфиденциальности (т.е. недоступности для всех), список сотрудников фирмы, которым предоставлено право использовать эти сведения в работе. Перечень, основу которого составляет типовой состав защищаемых сведений фирм данного профиля, является постоянным рабочим материалом руководства фирмы, служб безопасности и конфиденциальной документации. Он представляет собой классифицированный список типовой и конкретной ценной информации о проводимых работах, производимой продукции, научных и деловых идеях, технологических новшествах. В перечень включаются действительно ценные сведения о каждой работе фирмы.

Дополнительно может составляться перечень документов, в которых эти сведения отражаются (документируются). В перечень включаются также документы, не содержащие защищаемую информацию, но представляющие ценность для фирмы и подлежащие охране. Перечни формируются индивидуально каждой фирмой в соответствии с рекомендациями специальной комиссии и утверждаются первым руководителем фирмы. Эта же комиссия регулярно вносит текущие изменения в перечни в соответствии с динамикой выполнения фирмой конкретных работ.

Документы, содержащие ценную информацию, входят в состав информационных ресурсов фирмы, которые могут быть: а) открытыми (доступными для работы персонала без специального разрешения) и б) ограниченными для доступа к ним персонала (отнесенными к одному из видов тайны - государственной или негосударственной).

Перечень сведений, относимых к конфиденциальной информации, а также перечень сотрудников, допущенных к ней, оформляется приказом по фирме.

Информации присущи следующие свойства.

1. Информация доступна человеку, если она содержится на материальном носителе. Поэтому необходимо защищать материальные носители информации, так как с помощью материальных средств можно защищать только материальные объекты.

2. Информация имеет ценность. Ценность информации определяется степенью ее полез-ности для владельца. Обладание истинной (достоверной) информацией дает ее владельцу опреде-ленные преимущества. Истинной или достоверной информацией является информация, которая с достаточной для владельца (пользователя) точностью отражает объекты и процессы окружаю-щего мира в определенных временных и пространственных рамках. Информация может приносить владельцу не только пользу, но вред. Информация, искаженно представляющая действительность (недостоверная информация), может принести значительный ущерб ее владельцу. Если информа-цияискажена умышленно, то ее называют дезинформацией.

Законом «Об информации, информатизации и защите информации» гарантируется право собственника информации на ее использование и защиту от доступа к ней других лиц (организа-ций). Если доступ к информации ограничивается, то такая информация является конфиденци-альной. Конфиденциальная информация может содержать государственную или коммерческую тайну.

Коммерческую тайну могут содержать сведения принадлежащие частному лицу, фирме, корпорации и т. п.

Государственную тайну могут содержать сведения принадлежащие государству (государ-ственному учреждению). В соответствии с законом «О государственной тайне» сведениям, пред-ставляющим ценность для государства, может быть присвоена одна из трех возможных степеней секретности. В порядке возрастания ценности (важности) информации ей может быть присвоена степень (гриф) «секретно», «совершенно секретно» или «особой важности». В государственных учреждениях менее важной информации может присваиваться гриф «для служебногопользова-ния».

Для обозначения ценности конфиденциальной коммерческой информации используется три категории:

- коммерческая тайна - строго конфиденциально»;

- «коммерческая тайна - конфиденциально»;

- «коммерческая тайна».

Используется и другой подход к градации ценности коммерческой информации:

- «строго конфиденциально - строгий учет»;

- «строго конфиденциально»;

- «конфиденциально».

Ценность информации изменяется во времени.

Как правило, со временем ценность информации уменьшается. Зависимость ценности информации от времени приближенно определяется в соответствии с выражением:

где С0 - ценность информации в момент ее возникновения (получения); t - время от момента возникновения информации до момента определения ее стоимости;  - время от момента возникновения до момента устаревания информации.

Время, через которое информация становится устаревшей, меняется в очень широком диапазоне. Так, например, для пилотов реактивных самолетов, автогонщиков информация о положении машин в пространстве устаревает за доли секунд. В то же время информация о законах природы остается актуальной в течение многих веков.

Информация покупается и продается. Поэтому ее правомочно рассматривать как товар, имеющий определенную цену. Цена, как и ценность информации, связаны с полезностью информации для конкретных людей, организаций, государств. Информация может быть ценной для ее владельца, но бесполезной для других. В этом случае информация не может быть товаром, а, следовательно, она не имеет и цены. Например, сведения о состоянии здоровья обычного гражданина являются ценной информацией для него. Но эта информация, скорее всего, не станет товаром, а значит, она не имеет и цены.

Информация может быть получена тремя путями:

- проведение научных исследований;

- покупка информации;

- противоправное добывание информации.

Как любой товар, информация имеет себестоимость, которая определяется затратами на ее получение. Себестоимость зависит от выбора путей получения информации и минимизации затрат при добывании необходимых сведений выбранным путем. Информация добывается с целью получения прибыли или преимуществ перед конкурентами, противоборствующими сторонами. Для этого информация:

- продается на рынке;

- внедряется в производство для получения новых технологий и товаров, приносящих прибыль;

- используется в научных исследованиях;

- позволяет принимать оптимальные решения в управлении.

С понятием информации тесно связано и понятие количества информации. Количество информации применимо как численная характеристика полного количества информации, так и количества ценной информации. Информация некоторого сообщения может быть как полностью ценной, так и не содержать ценной информации вообще.

В текстах на двух языках (русском и английском), передающих один и тот же смысл, количество ценной информации будет одинаково. В то же время, количество информации, подсчитанной по количеству использованных букв будет, скорее всего, различным.

Существует несколько подходов к измерению количества информации.

Энтропийный подход.

В теории информации количество информации оценивается мерой уменьшения у получателя неопределенности (энтропии) выбора или ожидания событий после получения информации. Количество информации тем больше, чем ниже вероятность события. Энтропийный подход широко используется при определении количества информации, передаваемой по каналам связи. Выбор при приеме информации осуществляется между символами алфавита в принятом сообщении. Пусть сообщение, принятое по каналу связи, состоит из N символов (без учета связи между символами в сообщении). Тогда количество информации в сообщении может быть подсчитано по формуле Шеннона:

где Pi - вероятность появления в сообщении символа i; к - количество символов в алфавите языка.

Этот подход абсолютно не отражает насколько полезна полученная информация, а позволяет определить лишь затраты на передачу сообщения.

Ценность информации зависит от цели её получателя. В случае достижимости цели несколькими возможными путями, ценность информации можно определить по приносимому этой информацией сокращению затрат ресурсов (материальных, временных). Чем более информация ведёт к достижению цели, чем более она полезна, тем более она ценна. Тем не менее, ценность информации ‑ более общее свойство, чем полезность информации. Помимо полезной информации, то есть ‑ реализованной информации, информация может обладать потенциальной ценностью, быть отложена для решения будущих задач.

В случае, если достижение цели выполнимо с некоторой вероятностью, можно применить меру ценности (целесообразности) А. А. Харкевича и М. М. Бонгарда:

‚

где р ‑ вероятность достижения цели до получения информации, а Р ‑ после её получения. Формула работает и в случае, когда вероятность достижения цели с получением информации уменьшилась ‑ в этом случае ценность информации отрицательна, а саму информацию лучше назвать дезинформацией.

Указанная выше формула ценности информации дает и количество ценной информации. Например, если  P=1 (цель выполняется с вероятностью 1), а  p=1/n (для n равновероятных исходов — предварительная осведомленность (тезаурус), то есть, априорная информация отсутствует), то — максимальное количество информации в данной ситуации.

М. М. Бонгард вводит понятие «полезной информации» и получает более общий вероятностно-алгебраический подход, при котором формула Харкевича становится частным случаем.

В. И. Корогодин предложил использовать в качестве меры ценности величину:

которая, обладая похожими на формулу Харкевича свойствами, изменяется от 0 до 1.

Тезаурусный подход.

Этот подход предложен Ю. А. Шрейдером. Он основан на рассмотрении информации как знаний. Согласно этому подходу количество информации, извлекаемое человеком из сообщения, можно оценить степенью изменения его знаний. Структурированные знания, представленные в виде понятий и отношений между ними, называются тезаурусом.

Знания отдельного человека, организации, государства образуют соответствующие тезаурусы. Тезаурусы организационных структур образуют тезаурусы составляющих их элементов. Так тезаурус организации образуют, прежде всего, тезаурусы сотрудников, а также других носителей информации, таких как документы, оборудование, продукция и т. д.

Для передачи знаний требуется, чтобы тезаурусы передающего и принимающего элемента пересекались. В противном случае владельцы тезаурусов не поймут друг друга.

Тезаурусы человека и любых организационных структур являются их капиталом. Поэтому владельцы тезаурусов стремятся сохранить и увеличить свой тезаурус. Увеличение тезауруса осуществляется за счет обучения, покупки лицензии, патента, приглашения квалифицированных сотрудников или хищения информации.

В обществе наблюдаются две тенденции: развитие тезаурусов отдельных элементов (людей, организованных структур) и выравнивание тезаурусов элементов общества.

Выравнивание тезаурусов происходит как в результате целенаправленной деятельности (например, обучения) так и стихийно. Стихийное выравнивание тезаурусов происходит за счет случайной передачи знаний, в том числе и незаконной передачи.

Практический подход.

На практике количество информации измеряют с использованием понятия «объем информации». При этом количество информации может измеряться в количестве бит (байт), в количестве страниц текста, длине магнитной ленты с видео- или аудиозаписью и т. п. Однако очевидно, что на одной странице информации может содержаться больше или меньше, по крайней мере, по двум причинам. Во-первых, разные люди могут разместить на странице различное количество сведений об одном и том же объекте, процессе или явлении материального мира. Во-вторых, разные люди могут извлечь из одного и того же текста различное количество полезной, понятной для них информации. Даже один и тот же человек в разные годы жизни получает разное количество информации при чтении книги.

Таким образом, практический подход подразумевает относительность количества информации.

В результате копирования без изменения информационных параметров носителя количество информации не изменяется, а цена снижается. В соответствии с законами рынка, чем больше товара появляется, тем он дешевле. Этот закон полностью справедлив и в отношении копий информации. Действие этого закона можно проследить на примере пиратского распространения программных продуктов, видео продукции и т. п.

Контрольные вопросы

1. Почему информационная безопасность является важным аспектом интегральной безопасности?

2. Что такое информационная безопасность, каковы ее субъекты.

3. Что относится к поддерживающей инфраструктуре ИБ?

4. Каковы составляющие ИБ?

5. Какие подходы к измерению ценности информации вам известны.