2.2. Угрозы и возможные каналы утечки конфиденциальной информации

В законе Российской Федерации «О безопасности» дано определение угрозы безопасности как совокупности условий и факторов, создающих опас- 1 гость жизненно важным интересам личности, общества и государства.

Под угрозой информации в системах ее обработки понимается возможность возникновения на каком-либо этапе жизнедеятельности системы такого явления или события, следствием которого могут быть нежелательные воздействия на информацию.

К настоящему времени известно большое количество разноплановых угроз различного происхождения, таящих в себе различную опасность для информации. Для системного представления их удобно классифицировать по виду, возможным источникам, предпосылкам появления и характеру проявления.

Виды угроз. Определив понятие угрозы государству, обществу и личности в широком смысле, рассмотрим ее относительно непосредственного воздействия на конфиденциальную информацию, обрабатываемую на каком- либо объекте (кабинете, предприятии, фирме). Представим информацию как совокупность п информационных элементов, связанных между собой логическими связями (рис. 2.2) и проанализируем возможные пути воздействия на нее. В результате анализа можно выделить основные нарушения: •

физической целостности (уничтожение, разрушение элементов); •

логической целостности (разрушение логических связей); •

содержания (изменение блоков информации, внешнее навязывание ложной информации); •

конфиденциальности (разрушение защиты, уменьшение степени защищенности информации); •

прав собственности на информацию (несанкционированное копирование, использование).

Рис.

1 ... /7 - совокупность информационных элементов; 1 ...4 - пути воздействия

С учетом этого, для объектов информатизации система угроз ИБ представляет реальные или потенциально возможные действия или условия, приводящие к овладению, хищению, искажению, изменению, уничтожению конфиденциальной информации и сведений о самой системе, а также к прямым материальным убыткам. Обобщая рассмотренные угрозы, можно выделить из них три, наиболее характерные для систем обработки информации: •

подверженность физическому искаэюению или уничтожению; •

возможность несанкционированной (случайной или злоумышленной) модификации; •

опасность несанкционированного (случайного и преднамеренного) получения информации лицами, для которых она не предназначалась.

Кроме того, для анализа процесса обработки информации существует угроза блокирования доступа к обрабатываемой информации.

Характер происхождения угроз. Угрозы безопасности информации и современных системах ее обработки определяются умышленными (преднамеренные угрозы) и естественными (непреднамеренные угрозы) разрушающими и искажающими воздействиями внешней среды, надежностью функционирования средств обработки информации, а также преднамеренным корыстным воздействием несанкционированных пользователей, имеющих целью хищение, уничтожение, разрушение, несанкционированную модификацию и использование обрабатываемой информации. При этом под умышленными, или преднамеренными, понимаются такие угрозы, которые обусловливаются злоумышленными действиями людей. Случайными, или естественными, являются угрозы, не зависящие от воли людей. В настоящее нремя принята классификация угроз информации, показанная на рис. 2.3. Угрозы информации

Рис.

Источники угроз. Под источником угроз понимается непосредственный исполнитель угрозы в плане ее негативного воздействия на информацию. Источники можно разделить на следующие группы: -

люди; -

технические устройства; -

модели, алгоритмы, программы; -

технологические схемы обработки; -

внешняя среда.

Предпосылки появления угроз. Существуют следующие предпосылки или причины появления угроз:

объективные (количественная или качественная недостаточность элементов системы) - причины, не связанные непосредственно с деятельностью людей и вызывающие случайные по характеру происхождения угрозы;

субъективные - причины, непосредственно связанные с деятельнос- | І.Ю человека и вызывающие как преднамеренные (деятельность разведок иностранных государств, промышленный шпионаж, деятельность уголовных элементов и недобросовестных сотрудников), так и непреднамеренные (плохое психофизиологическое состояние, недостаточная подготовка, низкий уровень знаний) угрозы информации.

Классификация угроз представлена на рис. 2.4. Природа происхождения & х&ъ У. Стихий ные sX"< : ' ' Я ' jL . V' бедс ?"V .Г1. "ГГ" твия

Непреднамеренные

Преднамеренные

Побочные явления

waштрмвпл

VI

Источники угроз

Внешняя Среда

«г*

J г/v.-д ^ і» • -Vі .?? v, 5 /V vr>w.c • 'v-cT^v" Jj

^ ^ - Г ^ ^ ' .' І ^ / Л "•'v'

Объективные естественные

Предпосылки 11 о явлення

Л J 1.11 ? II. II Ц^у ?? I ? ^ р^л ^?H^HjHi^» iP^wr^.^i fjl^w^^ .,1

г.: y-v&fe • ..л^;

Психофизиологическое состояние

г-

W .* V.s-: *>Ж>к

' Mft.d "О.

Качество подготовки

Природ7 ные катаклизмы

.

Техно Раз Про мы- Уголов логиче вед шлен- ные ские ка ныи элемен катаст шпио ты рофы наж Рис. 2.4. Классификация параметров угроз информации

Перечисленные разновидности предпосылок интерпретируются следующим образом:

• количественная недостаточность - физическая нехватка одного или

нескольких элементов системы 00

леи, вызывающая нарушения техно-

логического процесса обработки или перегрузку имеющихся элементов;

• качественная недостаточность — несовершенство конструкции (организации) элементов системы, в силу чего появляется возможность случай- ?ми

кого или преднамеренного негативного воздействия на обрабатываемую или хранимую информацию;

• деятельность разведывательных органов иностранных государств - специально организуемая деятельность государственных органов разведки, профессионально ориентированных на добывание необходимой информации всеми доступными способами и средствами;

• промышленный шпионаж - негласная деятельность отечественных и зарубежных промышленных организаций (фирм), направленная на получение незаконным путем конфиденциальной информации, используемой для достижения промышленных, коммерческих, политических или под-

рывных целей; •

злоумышленные действия уголовных элементов - хищение информации, средств ее обработки или компьютерных программ в целях наживы пли их разрушение в интересах конкурентов; •

плохое психофизиологическое состояние - постоянное или временное психофизиологическое состояние сотрудников, приводящее при определенных нестандартных внешних воздействиях к увеличению ошибок и сбоев в обслуживании систем обработки информации или непосредственно к разглашению конфиденциальной информации;

Ч/

* недостаточно качественная подготовка сотрудников - низкии уровень

4,/ Ч>

теоретической и практической подготовки персонала к выполнению задач по защите информации, в результате чего может произойти нарушение процесса функционирования системы защиты информации.

С точки зрения степени участия объекта (предприятие) и субъекта (конкуренты) в информационном процессе с противоположными интересами, можно рассматривать внутренние и внешние факторы, которые могут привести к утрате охраняемых сведений.

В результате активных действий сторон в большинстве случаев совершается вполне осознанно и целенаправленно происходит: •

разглашение конфиденциальной информации ее обладателем; •

утечка информации по различным, главным образом техническим, каналам;

® несанкционированный доступ к конфиденциальной информации различными способами.

Разглашение информации ее обладателем. Это умышленное или

неосторожное действие должностных лиц и граждан, которым в установленном порядке были доверены соответствующие сведения по работе, приведшее к не вызванному служебной необходимостью оглашению ох- раняемых сведении, а также передача таких сведении по открытым техническим каналам или обработка на некатегорированных ЭВМ.

Разглашение выражается в сообщении, передаче, предоставлении, пересылке, опубликовании, обсуждении, утере или оглашении любыми иными способами конфиденциальной информации лицам и организациям, не имеющим права доступа к охраняемым секретам.

Разглашение информации может происходить по многим каналам, в том числе через почтовые отправления, радио, телевидение, печать и т. п. В общем плане разглашение возможно в ходе деловых встреч, бесед, при обсуждении совместных работ, в договорах, письмах и документах, деловых встречах и др. В ходе таких мероприятий партнеры ведут интенсивный обмен информацией. Именно при общении между ними устанавливаются «доверительные» отношения, приводящие к оглашению коммерческих секретов.

Как правило, причинами разглашения конфиденциальной информации являются: •

слабое знание (или незнание) требований по защите конфиденциальной информации; •

ошибочность действий персонала из-за низкой производственной квалификации; •

отсутствие контроля за оформлением документов, подготовкой выступлений, рекламы и публикаций; •

злостное, преднамеренное невыполнение требований по защите

V>

коммерческой тайны.

Разглашение конфиденциальной информации неизбежно приводит к материальному и моральному ущербу.

Приведенная таблица и диаграмма (рис.

Утечка конфиденциальной информации. Утечку информации в общем виде можно рассматривать как бесконтрольный и неправомерный выход конфиденциальной информации за пределы организации или круга лиц, которым эта информация была доверена.

Утечка информации по своей сущности предполагает противоправное (тайное или явное, осознанное или случайное) овладение конфиденциальной информацией, независимо от того, каким путем это достигается.

Она может произойти при наличии ряда обстоятельств: если есть конкурент (злоумышленник), который такой информацией интересуется и затрачивает определенные силы и средства для ее получения, и если есть условия, при которых конкурент может рассчитывать на овладение интересующей его информацией (затратив на это меньше сил, чем если бы он добывал ее самостоятельно). № п/п

о/

/о

Факторы

32 24

I

о

Излишняя болтливость сотрудников фирмы

Стремление сотрудников зарабатывать средства любыми способами и любой ценой

14 12 10 8

3 •I

S ()

Отсутствие в фирме службы безопасности

Привычка сотрудников фирмы делиться информацией друг с другом

Ьссконтрольное использование информационных систем фирмы

І Іаличие предпосылок для возникновения среди сотрудников кон- фликтных ситуаций: отсутствие психологической совместимости, случайный подбор кадров, зависть и т. д. о/

/о

гСкнккмжкі

И)

ж* ж |пхххцкхх]

ff!Wf?!fi

хїхпшкхГ JttfttKVKV

?важ *******

Ktf«NYXM нЬкцкї*

5Ї

20

у

ххккх* хжн Ііххкхн**

•s Ж д,^

НЫкНтт.Ы лжхижкх VHHXHH* ЦШХНЫ.КЫ ^ЙХМХКУ

мхннннм

6 Факторы

Рис. 2.5. Количественные показатели влияния факторов, обусловливающих разглашение коммерческой тайны

к

ЗСЖЇ5 №ШБі

2

10 1

********

********

ііжктх НШШНЖ К ж.хжкхжх

&

MM** Я**

/

Г*****

ї

*

V

' > S .

'X s

>. ' 4

0

калек*»*

ШшШВг

1

ма гс

І Іричиньї утечки информации связаны, как правило, с несовершенен ном норм по сохранению коммерческих секретов, а также нарушением них норм, отступлением от правил обращения с соответствующими документами, техническими средствами, образцами продукции и другими .•риалами, содержащими конфиденциальнуючинформацию. Условия утечки информации включают разные факторы и обстоятель-

ста, которые складываются в процессе научной, производственной, рек- пампой, издательской, информационной и иной деятельности предприятия и создают предпосылки для утечки коммерческих секретов. К таким фак- юрам п обстоятельствам могут, например, относиться: •

недостаточное знание работниками правил защиты коммерческой тайны и непонимание необходимости их тщательного соблюдения; *

использование неаттестованных технических средств обработки конфиденциальной информации; •

ела б І.ІІ і контроль за соблюдением правил защиты информации правовыми, организационными и инженерно-техническими мерами; *

текучесть кадров, в том числе владеющих сведениями, составляю-

щимн коммерческую тайну. Таким образом; большая часть причин и условий, создающих предпосылки и возможность неправом ери ого овладения конфиденциальной информацией, возникает из-за недоработок руководителя предприятия и его сотрудников.

Кроме того, утечке информации способствуют стихийные бедствия, катастрофы, неисправности, отказы, аварии технических средств и оборудования.

Способы несанкционированного доступа к конфиденциальной информации. Учитывая известный афоризм «Цель оправдывает средства», зададим вопрос: какие цели преследует злоумышленник, осуществляя несанкционированный доступ к источникам конфиденциальной информации'?

В новых рыночных условиях возникает масса проблем, связанных с обеспечением сохранности не только предпринимательской информации как вида интеллектуальной собственности, но и физических и юридических лиц, их имущественной собственности и личной безопасности. Известно, что предпринимательская деятельность тесно связана с получением,

накоплением, хранением, обработкой и использованием разнообразных

f

информационных потоков, Коль скоро информация представляет определенную цену, то факт ее получения злоумышленником приносит ему определенный доход, ослабляя тем самым возможности его конкурента. Отсюда главная цель - получение информации о составе, состоянии и деятельности объекта конфиденциальных интересов в целях удовлетворения своих информационных потребностей, в корыстных целях или внесение изменений в состав информации. Последнее действие может привести к дезинформации по определенным сферам деятельности, учетным данным, результатам решения некоторых задач.

Более опасной целью является уничтожение накопленных информационных массивов в документальной или магнитной форме и программных продуктов в среде автоматизированной системы обработки данных. Уничтожение — это противоправное действие, направленное па нанесение материального и информационного ущерба конкуренту со стороны зл о ум м шл енн ика.

ъ*

От целей зависят как выбор способов действий, так и количественный и качественный состав привлекаемых сил и средств для посягательства на чужие секреты.

В деловом мире сложились традиционные приемы и методы получения информации о конкуренте. Некоторые из них легальны, другие нарушают законные права граждан и организаций. В этом плане любопытный перечень источников получения информации о конкурентах опубликовал американский журнал «Кемикл энджиниринг»:

• сбор информации, содержащейся в средствах массовой информации, включая официальные документы;

9 использование сведении, распространяемых служащими конкури

рующих фирм; •

биржевые документы и отчеты консультантов, финансовые отчеты и документы, выставочные экспонаты и проспекты; •

изучение продукции конкурирующих фирм, использование данных, полученных вовремя бесед со служащими конкурирующих фирм; •

замаскированные опросы и «выуживание« информации у служащих конкурирующих фирм на научно-технических конгрессах; •

непосредственное наблюдение, осуществляемое скрытно; •

беседы о найме на работу со служащими конкурирующих фирм (без намерений приема их на работу); •

наем на работу служащего конкурирующей фирмы для получения требуемой ин формации;

а подкуп служащего конкурирующей фирмы; •

подслушивание переговоров, ведущихся в фирм ах-конку рейтах; •

перехват телеграфных и факсовых сообщений; •

подслушивание телефонных разговоров; •

кража чертежей, документов и т. д.; •

шантаж и вымогательство.

Приведенный список источников отнюдь не является исчерпывающим. Одну из самых многочисленных групп возможностей несанкционированного получения информации составляют так называемые «технические каналы утечки», причем количество их постоянно растет. Так, по сообщениям печати, немецкий ученый Маркус Кун, работающий в настоящее время в Кембриджском университете, показал, что имеется принципиальная возможность с расстояния в несколько сотен метров восстанавливать картинку экрана просто по мерцанию света в окне комнаты, где установлен монитор или телевизор. Все, что для этого требуется, - это качественный светочувствительный датчик, хорошая оптика и знание тонкостей работы электронно-лучевых трубок. Другой ученый-исследователь, американец Джо Локри, продемонстрировал, что с помощью примерно той же техники ~ подзорной трубы и хорошего светового сенсора - на расстоянии до полутора километров можно снимать данные с постоянно мигающих индикационных лампочек компьютерного оборудования.

Итак, все вероятные источники утечки информации можно разбить на три основные группы: •

персонал, имеющий доступ к конфиденциальной информации; •

документы, содержащие эту информацию; •

технические средства и системы обработки информации, в том числе линии связи, по которым она передается. В зарубежных материалах приводятся оценки различных каналов утечки, существующих в коммерческих фирмах. Анализ приведенных данных показывает, что, хотя 47 % каналов утечки составляют техничес-

кие средства разведки, персонал остается одной из главных причин утечки конфиденциальной информации (табл. 2.1).

Таблица 2.1. Результативность каналов утечки информации о/

/о

Каналы утечки информации 43 5 10 18 24

Подкуп, шантаж, переманивание служащих, внедрение агентов Подслушивание телефонных переговоров Кража документов Проникновение в ПЭВМ

Съем информации с помощью технических средств разведки