Информационная безопасность

Понятия
защита ин­формации, безопасность информации, информа­ционная безопасность яв­ляются
базовыми, по­скольку их сущность оп­ределяет в конечном ито­ге политику
и деятель­ность в сфере защиты ин­формации. В то же время эти понятия
взаимосвяза­ны и взаимообусловлены. Между тем и в норматив­ных документах, и в
науч­ной литературе нет еди­ных подходов к определе­нию данных понятий, а,
следовательно, и к рас­крытию их сущности, ибо определения должны в
концентрированном виде выражать сущность по­нятий. В первую очередь это
относится к понятию защита информации, где разброс мнений наиболее значителен.
При этом различия касаются как со­держательной части понятия, так и способа ее
реа­лизации.

По
содержательной части защита информации рассматривается как: предупреждение
несанкцио­нированного доступа к информации; создание ус­ловий, ограничивающих
распространение инфор­мации; ограждение права собственника на владе­ние и
распоряжение информацией; предотвраще­ние утечки, хищения, утраты,
несанкционирован­ного уничтожения, копирования, модификации, искажения,
блокирования, разглашения инфор­мации, несанкционированных и непреднамерен­ных
воздействий на нее; сохранение полноты, на­дежности, целостности,
достоверности, конфиден-,. циальности информации и т.д.

Способом
реализации содержательной части понятия одни авторы называют совокупность ме-Si/роприятий,
методов и средств, другие -деятель­ность, у третьих он вообще отсутствует.

Методологической
основой для раскрытия сущности и определения понятия защиты инфор­мации должно
быть определение понятия защита в целом, безотносительно к предмету защиты.

В
толковых словарях термин защита интерпре­тируется двояко: как процесс охраны,
сбережения, спасения от кого, чего-нибудь неприятного, враж­дебного, опасного и
как совокупность методов, средств и мер, принимаемых для предотвращения,
предупреждения чего-то. Таким образом, содержа­тельная часть в этих
определениях по смыслу сов­падает - это предотвращение, предупреждение че­го-то
опасного, враждебного. Если соотнести это положение с защитой информации, то
самым опас­ным для собственника информации является нару­шение установленного
статуса информации, и поэ­тому содержательной частью защиты должно быть ,
предотвращение такого нарушения.

Нарушение статуса
любой информации заклю-

чается
в нарушении ее физической сохранности вообще либо у данного собственника (в
полном или частичном объеме), структурной целостно­сти, доступности для
правомочных пользова­телей. Нарушение стату­са конфиденциальной информации, в
том числе составляющей государ­ственную тайну, допол­нительно включает в се­бя
нарушение ее конфи­денциальности (закры-тости для посторонних лиц).

Нарушение статуса информации
обусловлено ее уязвимостью, которая означает неспособность информации
самостоятельно противостоять деста­билизирующим воздействиям, сохранять при та­ких
воздействиях свой статус.

Но уязвимость информации -
понятие собира­тельное, она не существует вообще, а проявляется (выражается) в
различных формах. В научной ли­тературе и нормативных документах не сформиро­вался
термин форма проявления уязвимости ин­формации, но самих конкретных
формназывается множество. При этом значительное количество пе­речисляемых форм
являются синонимами или раз­новидностями одних и тех же явлений, некоторые не
могут быть отнесены к формам по своей сущно­сти.

Представляется, что к формам
проявления уяз­вимости информации, выражающим результаты дестабилизирующего
воздействия на информа­цию, должны быть отнесены:*)

-
хищение носителя информации или отобра­женной в нем информации (кража);

- потеря носителя информации (утеря);

-
несанкционированное уничтожение носителя информации или отображенной в
неминформации (разрушение);

-
искажение информации (несанкционирован­ное изменение, несанкционированная
модифика­ция, подделка, фальсификация);

- блокирование информации;

-
разглашение информации (несанкциониро­ванное распространение, раскрытие)

Хищение информации часто
ставится в один ряд с ее несанкционированным копированием, размножением,
съемом, перехватом. Однако пос­ледние являются не формами проявления уязви­мости
информации, а способами хищения. ,

Термины модификация,
подделка, фальсифи­кация не совсем адекватны термину искажение, они имеют
нюансы, но суть их одна и та же - не­санкционированное частичное или полное
измене-ниепервоначальной информации.

Та или другая форма уязвимости информации

*)
В скобках даны существующие варианты названий форм

16                            Безопасность
информационных технологий, 1999. .№ 1

А. И. Алексенцев. Сущность и
соотношение понятий "защита информации"...

может
реализоваться при преднамеренном или случайном, непосредственном или
опосредован­ном дестабилизирующем воздействии различны­ми способами на носитель
информации или саму информацию со стороны определенных источни­ков воздействия.

Но
результатами проявления форм уязвимости информации могут быть либо утрата, либо
утечка информации, либо одновременно то и другое.   ^

К
утрате как конфиденциальной, так и защи­щаемой части открытой информации
приводят хи­щение и потеря носителей информации, несанкци­онированное
уничтожение носителей информации или только отображенной в них информации, ис­кажение
и блокирование информации. Утрата мо­жет быть полной или частичной,
безвозвратной или временной (при блокировании информации), но в любом случае
она наносит ущерб собственнику информации.

Термин
утечка информации, вероятно, не са­мый благозвучный, однако он более емко, чем
дру­гие термины, отражает суть явления, к тому же он давно уже закрепился в
научной литературе и нор­мативных документах. Правда, единого подхода к
определению этого термина нет. Наиболее распро-странные определения в
обобщенном виде сводят­ся либо к неправомерному (неконтролируемому) выходу
конфиденциальной информации за преде­лы организаций и круга лиц, которым эта
инфор­мация доверена, либо к несанкционированному за-владению конфиденциальной
информацией сопер­ником. При этот термин конфиденциальная ин­формация иногда
неправомерно заменяется терми­ном защищаемая информация.

Первый
вариант не раскрывает в полной мере сущности утечки, поскольку он не принимает
во внимание последствий неправомерного выхода конфиденциальной информации. А
они могут быть двоякими: или информация попала вруки лиц, не имеющих к ней
санкционированного дос­тупа, или не попала. Например, потерянный носи­тель
конфиденциальной информации означает не­правомерный выход информации за пределы
лиц, имеющих к ней доступ, но он может попасть в чу­жие руки, а может быть и
прихвачен мусороубо­рочной машиной и уничтожен в установленном для мусора
порядке. В последнем случае утечки информации не происходит.

Второй
вариант утечку информации связыва­ет с неправомерным завладением конфиденци­альной
информацией только соперником. В та­ком варианте, к примеру, средства массовой
ин­формации, которым нередко поставляют или они сами добывают конфиденциальную
информа­цию, должны рассматриваться в качестве сопер­ников собственника
информации, в этом случае настоящий соперник получает информацию пра­вомерно,
через СМИ.

В то
же время утечка информации не означает получение ее только лицами, не
работающими на предприятии, к утечке приводит и несанкциониро­ванное
ознакомление с конфиденциальной инфор­мацией лиц данного предприятия.

Исходя из изложенного, можно
сформулиро­вать следующее определение:

Утечка информации -
неправомерный выход конфиденциальной информации за пределы защи­щаемой зоны ее
функционирования или установ­ленного круга лиц, результатом которого является
получение информации лицами, не имеющими к ней санкционированного доступа.

Термин утечка информации
нередко, в том чис­ле и в нормативных документах, заменяется или
отождествляется с терминами разглашение инфор­мации, распространение информации
и даже пере­дача информации. Такой подход представляется неправомерным. Термин
разглашение информа­ции означает несанкционированное доведение конфиденциальной
информации до потребителей, не имеющих права доступа к ней, таким образом, он
предполагает, что разглашение исходит от кого-то, осуществляется кем-то.
Результатом разглаше­ния является утечка информации, но утечка не сводится
только к разглашению. Термин распро­странение применительно к конфиденциальной
информации без слов несанкционированное или необоснованное ничего не выражает,
поскольку распространение информации может быть и обос­нованным, к тому же он
опять-таки предполагает, что информация исходит от кого-то. Термин пере­дача
информации говорит сам за себя.

Помимо разглашения, утечка
может произой­ти и в результате потери и хищения носителя кон­фиденциальной
информации, а также хищения отображенной в носителе информации при сохран­ности
носителя у собственника (владельца). Может произойти не означает, что
произойдет. Выше уже отмечалось, что потеря носителя не всегда приво­дит к
утечке информации. Хищение конфиденци­альной информации также не всегда связано
с по­лучением ее лицами, не имеющими к ней доступа. Имелось немало случаев,
когда хищение носите­лей конфиденциальной информации осуществля­лось у коллег
по работе допущенными к этой ин­формации лицами с целью подсидки, причинения
вреда коллеге. Такие носители, как правило, унич­тожались лицами, похитившими
их. Но в любом случае потеря и хищение если и не приводят к утечке информации,
то создают угрозу утечки. По­этому можно сказать, что к утечке конфиденци­альной
информации приводит ее разглашение и могут привести хищение и потеря. Сложность
со­стоит в том, что зачастую невозможно определить, во-первых, сам факт
разглашения или хищения информации при сохранности носителя информа­ции у
собственника (владельца), во-вторых, попала ли информация вследствие ее хищения
или потери посторонним лицам. При этом не следует отожде­ствлять хищение с
разглашением, как это иногда делается. Хищение может привести и часто приво­дит
к разглашению и в последнем случае выступа­ет в роли опосредованного способа
разглашения, но, во-первых, результатом хищения не всегда бы­вает разглашение,
во-вторых, разглашение конфи­денциальной информации осуществляется не только
посредством ее хищения.

Безопасность информационных технологий, 1999. ,№
1               17

Специальный выпуск"

Утрата и утечка информации
могут рассматри­ваться как виды уязвимости информации.

Суммируя соотношение форм и
видов уязвимо­сти защищаемой информации, можно констатиро­вать:

1.Формы
проявления уязвимости информации выражают результаты дестабилизирующего воз­действия
на информацию, а виды уязвимости - ко­нечный суммарный итог реализации форм
уязви­мости.

2.Утрата информации включает
в себя, по срав­нению с утечкой, большее число форм проявления уязвимости
информации, но она не поглощает утечку, т.к., во-первых, не все формы
проявления уязвимости информации, которые приводят или могут привести к утечке,
совпадают с формами, приводящими к утрате, во-вторых, если к утрате информации
приводит хищение носителей, то к утечке может привести хищение и носителей, и
отображенной в них информации при сохранности носителей.

3.
Наиболее опасными формами проявления уязвимости конфиденциальной информации
явля­ются потеря, хищение и разглашение - первые две одновременно могут
привести и к утрате, и к утеч­ке информации, вторая (хищение информации при
сохранности носителя) и третья могут не обна­ружиться со всеми вытекающими из
этого послед­ствиями.

4.
Неправомерно отождествлять виды и отдель­ные формы проявления уязвимости
информации (утрата^потеря, утрата= хищение, утечка=разгла-шение
(распространение), заменять формы прояв­ления уязвимости информации способами
дестаби­лизирующего воздействия на информацию, а так­же ставить в один ряд
формы и виды уязвимости защищаемой информации, как это, в частности, сделано в
законе "Об информации, информатиза­ции и защитой нформации", где
одной из целей за­щиты названо: предотвращение утечки, хищения, утраты,
искажения, подделки информации.

Поскольку
нарушение статуса информации вы­ражается в различных формах проявления уязви­мости
информации, а все формы сводятся к двум видам уязвимости, содержательную часть
понятия защита информации можно определить как пре­дотвращение утраты и утечки
конфиденциальной информации и утраты защищаемой открытой ин­формации.

Вторая
составляющая сущности защиты ин­формации - способ реализации содержательной
части - в толковых словарях, как уже отмечалось, представлена как процесс или
как совокупность методов, средств и мероприятий.

Защита
информации включает в себя опреде­ленный набор методов, средств и мероприятий,
од­нако ограничивать способ реализации только этим было бы неверно. Защита
информации должна быть системной, а в систему помимо методов, средств и
мероприятий входят и другие компонен­ты: объекты защиты, органы защиты,
пользовате­ли информации. При этом защита не должна пред­ставлять собой нечто
статичное, а являться непре­

рывным
процессом. Но этот процесс не осуществ­ляется сам по себе, а происходит в
результате дея­тельности людей. Деятельность же, по определе­нию, включает в
себя не только процесс, но и цели, средства и результат. Защита информации не
мо­жет быть бесцельной, безрезультатной и осуществ­ляться без помощи
определенных средств. Поэто­му именно деятельность и должна быть способом
реализации содержательной части защиты.

Объединив
содержательную часть защиты ин­формации и способ реализации
содержательнойча-сти, можно сформулировать следующее определе­ние:

Защита
информации - деятельность по предот­вращению утраты и утечки конфиденциальной
ин­формации и утраты защищаемой открытой инфор­мации.

Учитывая,
что определение должно быть лако­ничным, а термин утрата и утечка защищаемой
информации поглощаетвсе формы проявления уязвимости конфиденциальной и
защищаемой ча­сти открытой информации, можно ограничиться более кратким
определением при условии диффе­ренцированного его преломления в практической
работе: Защита информации - деятельность по предотвращению утраты и утечки
защищаемой информации.

'—"
А теперь проанализируем определение этого понятия, содержащееся в ГОСТ
Р50922-96 "Защи­та информации. Основные термины и определе­ния",
поскольку это определение официальное, имеющее в смысловом значении
обязательный ха­рактер. Оно сформулировано так: Защита инфор­мации -
деятельность по предотвращению утечки защищаемой информации,
несанкционированных и непреднамеренных воздействий на защищаемую информацию.

Как
видно, это определение совпадает с предло­женным по способу реализации
содержательной части защиты и по одной из ее составляющих -предотвращению
утечки защищаемой информа­ции. Однако определение утечки в ГОСТе дано дру­гое -
оно не сформулировано отдельно, а вмонтиро­вано в определение термина Защита
информации от утечки, которое звучит так: Защита информа­ции от утечки:
деятельность по предотвращению неконтролируемого распространения защищаемой
информации от ее разглашения, несанкциониро­ванного доступа к
защищаемойинформации и от получения защищаемой информации (иностран­ными}
разведками. Из этого определения вытека­ет, что утечка информации - это
неконтролируе­мое распространение защищаемой информации.

Неконтролируемое
распространение можно по смыслу приравнять к неправомерному выходу ин­формации
за пределы защищаемой зоны ее функ­ционирования или установленного круга лиц.
Но если в предложенном в данной статье определении утечки далее обозначен
результат такого выхода -получение информации лицами, не имеющими к ней
санкционированного доступа, то в стандарте неконтролируемое распространение
выступает уже как результат, к которому приводят разглаше-

18                           Безопасность
информационных технологий, 1999. № 1

А. И. Алексенцев. Сущность и
соотношение понятий "защита информации"...

ние,
получение информации разведками и несанк­ционированный доступ к ней. Т.е., в
первом случае неконтролируемое распространение приводит к несанкционированному
получению, во втором -все наоборот. Но различия не ограничиваются этим.
Вызывает недоумение, почему в один ряд по­ставлены разглашение,
несанкционированный до­ступ к информации и ее получение. Разве несанк­ционированный
доступ к информации не может привести к ее разглашению и получению? Если нет,
то как он влияет на неконтролируемое распро­странение информации? Только как
возможность с его помощью похитить ее. Но хищение в итоге опять приводит к
получению информации. С дру­гой стороны, разве разглашение информации не
приводит к ее получению иностранными разведка­ми и не только ими?

Такая путаница в ГОСТе вызвана
тем, что на одну доску поставлены понятия с разными значе­ниями: форма
проявления уязвимости защищае­мой информации (разглашение), механизм полу­чения
информации (несанкционированный дос­туп) и результат неконтролируемого
распростране­ния информации (получение разведками).

По второму компоненту
содержательной части защиты информации предложенное в данной ста­тье и
гостированное определения расходятся и по формулировке, и по существу. В статье
- это пре­дотвращение утраты защищаемой информации, В ГОСТе - предотвращение
несанкционированных и непреднамеренных воздействий на защищаемую информацию.
Таким образом, если в первой части определения содержательной части ГОСТ называ­ет
вид уязвимости информации (утечку), то во вто­рой - не вид (утрату), а воздействия,
которые могут привести к этому виду уязвимости. Конечно, утра­та не может
произойти без несанкционированных или непреднамеренных воздействий на информа­цию,
но зачем понадобился разный подход к обо­значению двух видов уязвимости
информации, по­чему один называется, другой подразумевается?

Отчасти это объясняется,
вероятно, тем, что ре­зультаты воздействия на информацию ГОСТ не сводит только
к ееутрате. Это видно из расшифров­ки понятий несанкционированного и непреднаме­ренного
воздействий на информацию.

К несанкционированному
воздействию ГОСТ относит воздействие на защищаемую информацию с нарушением
установленных прав или правил на изменение информации, приводящее к искаже­нию,
уничтожению, копированию, блокированию доступа к информации, а также к утрате,
уничто­жению или сбою функционирования носителя ин­формации.

Непреднамеренное воздействие
определяется ГОСТом как воздействие на защищаемую инфор­мацию ошибок
пользователя информацией, сбоя технических и программных средств информаци­онных
систем, а также природных явлений или иных нецеленаправленных на изменение
инфор­мации воздействий, связанных с функционирова­нием технических средств,
систем или с деятельно­стью людей, приводящих к искажению, уничто­

жению, копированию,
блокированию доступа к информации, а также к утрате, уничтожению или сбою
функционирования носителя информации.

Таким образом, результатом
воздействия на информацию или ее носитель являются и вид уяз­вимости (утрата),
и формы проявления уязвимости (искажение, уничтожение, блокирование), и спо­соб
воздействия (копирование). Если в данном слу­чае копирование заменяет хищение,
то это невер­но, поскольку есть и другие способы хищения. К тому же непонятно,
в чем смысл в определении по­нятия отделять носитель информации от самой ин­формации,
ведь в итоге названные утрата и унич­тожение носителя (без учета
неправомерности по­становки их в один ряд) являются одновременно утратой и
уничтожением отображенной в них ин­формации, а сбой функционирования носителя
приводит к блокированию информации.

Может показаться, что все
это - частности. Но определение любого понятия, помимо всего проче­го, требует
точности формулировки.            _

С понятием защиты информации
тесно связано понятие безопасности информации.

Термин безопасность
информации имеет двой­ное смысловое значение, его можно толковать и как
безопасность самой информации, и как отсут­ствие угроз со стороны информации
субъектам ин­формационных отношений.При этом безопасность самой информации
также не вписываетсяв одно­значное понимание. С одной стороны, это может
означать безопасность информации с точки зрения изначальной полноты и
надежности информации, с другой стороны, — защищенность установленного
статус-кво информации.

В нормативных документах и
литературе безо­пасность информации рассматривается только в разрезе ее
защищенности, и это, вероятно, оправ­дано при наличии термина информационная
безо­пасность.

Существует несколько
определений понятия безопасность информации. При общем подходе к безопасности
информации как состоянию защи­щенности (или защиты) информации эти определе­ния
существенно различаются между собой содер­жательной частью - защищенности от
чего. Сюда относят: от внутренних и внешних угроз; от утеч­ки, хищения, утраты,
несанкционированного уничтожения, искажения, модификации (поддел­ки),
несанкционированного копирования, блоки­рования информации и т.п.; от случайных
или преднамеренных несанкционированных воздейст­вий на информацию или
несанкционированного ее получения; от случайного или преднамеренного доступа
лиц, не имеющих права на получение ин­формации, ее раскрытие, модификацию или
раз­рушение, и др.

Не вызывает возражений
подход к определе­нию безопасности информации как к состоянию защищенности
информации, ибо сам термин безо­пасность означает отсутствие опасностей, что
опре­деленным образом корреспондируется с термином состояние защищенности.

Вторую часть определения можно сформулиро-

Безопасность информационных технологий, 1999.
№ 1               19

Специальный выпуск

вать
и как от воздействий, нарушающих ее статус, и как от утраты и утечки,
поскольку в конечном итоге они выражают одно и то же, т.к. предотвра­щение
утраты и утечки информации осуществля­ется посредством предотвращения
дестабилизиру­ющих воздействий на информацию. Первый вари­ант представляется более
предпочтительным, т.к. непосредственной целью защищенности информа­ции является
противодействие дестабилизирую­щим воздействиям.

Из
определений понятий защита информации и безопасность информации вытекает и
соотноше­ние между ними: защита информации направлена на обеспечение
безопасности информации или, другими словами, безопасность информации обес­печивается
с помощьюее защиты.

Понятие
информационная безопасность в науч­ной литературе сначала отождествлялось с
поняти­ем безопасность информации. Затем к этому приба­вилось или это
заменилось на защищенность субъе­ктов информационных отношений от негативных
информационных воздействий. В различных опре­делениях присутствуют те или
другие нюансы, но они не меняют сути названных подходов. Такое толкование информационной
безопасности пред­ставляется неполным. Методологической основой определения
этого понятия должно быть отнесение его не к самой информации, хотя
информационная безопасность и сопряжена с информацией, а к субъ­ектам
информационной среды - физическим и юридическим лицам, участвующим в информаци­онном
процессе. Из этого, кстати, следует, что в практическом преломлении
информационная безо­пасность не существует вообще, безотносительно к субъекту
информационной среды, именно субъект диктует показатели такой безопасности. Это
отно­сится не только к конкретным субъектам, но и к личности, обществу и
государству в целом.

Смысловое
содержание понятия информацион­ная безопасность предполагает и в какой-то мере
предопределяет включение в него трех составляю­щих.

Первой
составляющей является удовлетворе­ние информационных потребностей субъектов,
включенных в информационную среду. Здравый смысл подсказывает, что не может
быть обеспечена информационная безопасность субъекта без нали­чия у него
необходимой информации. Информаци­онные потребности различных субъектов не
одина­ковы, однаков любом случае отсутствие необходи­мой информации может иметь
и, как правило, име­ет отрицательные последствия. Эти последствия могут носить
различный характер, их тяжесть за­висит от состава отсутствующей информации.

Необходимая
для удовлетворения информаци­онных потребностей информация должна отвечать
определенным требованиям. Во-первых, информа­ция должна быть относительно
полной. Относи­тельно потому, что абсолютно полной информации ни один субъект
иметь не может. Полнота инфор­мации характеризуется ее достаточностью для
принятия правильных решений. Во-вторых, ин­формация должна быть достоверной,
ибо искажен­

ная
информация приводит к принятию неправиль­ных решений. В-третьих, информация
должна быть своевременной, т.к. необходимые решения эффективны лишь тогда,
когда они принимаются вовремя.

Но требования полноты,
достоверности и свое­временности информации относятся не только к ее
первоначальному статусу. Эти требования имеют силу на все время циркулирования
информации, потому что их нарушение на стадии последующего использования
информации также может привес­ти к неправильным решениям или вообще к невоз­можности
принятия решений, как и нарушение статуса конфиденциальности может обесценить
информацию. Поэтому информация должна быть защищена от воздействий, нарушающих
еестатус. А это относится к сфере безопасности информации. Стало быть,
обеспечение безопасности информа­ции должно являться второй составляющей ин­формационной
безопасности.

К принятию неверных решений
может привес­ти не только отсутствие необходимой информации, но и наличие
вредной, опасной для субъекта ин­формации, которая чаще всего целенаправленно
навязывается. Это требует обеспечения защиты субъектов информационных отношений
от нега­тивного информационного воздействия, что долж­но являться третьей
составляющей информацион­ной безопасности.

При таком подходе можно
сформулировать следующее определение:

Информационная безопасность
- состояние ин­формационной среды, обеспечивающее удовлетво­рение
информационных потребностей субъектов информационных отношений, безопасность ин­формации
и защиту субъектов от негативного ин­формационного воздействия.

При этом под информационной
средой, соглас­но закону Об участии в международном информа­ционном обмене,
понимается сфера деятельности субъектов, связанная с созданием, преобразовани­ем
и потреблением информации. В законе дано и определение информационной
безопасности как состояния защищенности информационной среды общества, обеспечивающего
ее формирование, ис­пользование и развитие в интересах граждан, орга­низаций,
государства.

Этому определению не хватает
конкретности. В него можно вписать и содержательную часть пред­ложенного
определения, а можно свести его только к безопасности информационных систем,
что не­правомерно, т.к. информационная безопасность не ограничивается
безопасностью информационных систем.

Из предложенных в данной
статье определений понятий защита информации, безопасность ин­формации,
информационная безопасность видно, что существует прямая связь и зависимость
между понятиями защита информации - безопасность информации, безопасность
информации - инфор­мационная безопасность и опосредованная - меж­ду понятиями
защита информации - информаци­онная безопасность.

20                           Безопасность
информационных технологий, 1999. № 1