АссистентНовый вопросИсторияОбласти знаний
Партнёрские проектыСпецпроектыСтать автором
Сменить язык
О РУВИКИ
ТехнологииИнфраструктура и безопасностьИнформационная безопасностьГарантирование информационной безопасности

Гарантирование информационной безопасности

Экспертиза РАН

Logo-ran-black.png
Проведена экспертиза
Российской академией наук
Подробнее
Aprove.svg

Экспертиза РАН

Arrow-Right.png
Logo-ran.png
Проведена экспертиза
Российской академией наук
Подробнее

Гарантирование информационной безопасности (англ. information assurance, IA) — это совокупность методов и практик, направленных на обеспечение защиты информации и управление рисками, связанными с использованием, обработкой, хранением и передачей данных. Гарантирование информационной безопасности включает защиту целостности, доступности, подлинности, неотказуемости и конфиденциальности пользовательской информации[1]. IA охватывает как цифровые, так и физические методы защиты, применяемые к информации в передаче (как в физическом, так и в электронном виде), а также к информации в покое. IA следует рассматривать как надмножество информационной безопасности и как результат процесса управления рисками информации.

Краткий обзор

Гарантирование информационной безопасности (IA) — это процесс обработки, хранения и передачи релевантной информации нужным лицам в соответствующее время[1]. IA относится к стратегическому управлению бизнес-рисками, связанными с информацией и сопутствующими системами, а не к разработке и внедрению мер защиты. Гарантирование информационной безопасности используется для достижения бизнес-выгоды посредством управления рисками, доверием, устойчивостью, соответствующей архитектурой, безопасностью и надёжностью систем, что обеспечивает доступ к информации только для авторизованных пользователей.

undefined

Помимо защиты от злонамеренных хакеров и вредоносного кода (например, вирусов), специалисты IA учитывают вопросы корпоративного управления, такие как конфиденциальность, соответствие нормативным требованиям, аудит, планирование непрерывности бизнеса и восстановление после сбоев в контексте информационных систем. Также IA — междисциплинарная область, требующая знаний в сфере бизнес, учёт, опыта пользователя, расследования мошенничества, криминалистики, управления, системной инженерии, инженерии безопасности и криминологии, помимо информатики.

Эволюция

Рост телекоммуникационных сетей сопутствует повышению зависимости от них, делая сообщества уязвимыми для кибератак, способных прервать, снизить или уничтожить критически важные сервисы[2]. С 1950-х годов роль и использование гарантирования информационной безопасности росли и эволюционировали. Механизмы обратной связи применялись в ходе разработки военных систем поддержки принятия решений (WWMCCS).

undefined

Изначально IA заключалась лишь в резервном копировании данных[3]. С увеличением объёма данных процессы IA стали автоматизироваться, снижая потребность во вмешательстве оператора и позволяя создавать мгновенные резервные копии[3]. Последний этап развития IA связан с внедрением распределённых систем для обработки и хранения данных с помощью таких технологий, как SAN, NAS и облачные вычисления[3][4][5].

Эти три основных этапа развития IA соответствуют трём поколениям информационных технологий: первое предназначено для предотвращения несанкционированного доступа, второе — для его обнаружения, третье — для обеспечения живучести систем[6][7].

Столпы (принципы)

Гарантирование информационной безопасности основывается на пяти ключевых принципах: доступность, целостность, аутентификация, конфиденциальность и неотказуемость[8]. Эти столпы учитываются для защиты систем при сохранении эффективности предоставляемых ими сервисов; в то же время, принципы взаимно влияют друг на друга, усиливая или ослабляя достижение целей друг друга[8]. Современная трактовка этих принципов всё чаще называется «столпами кибербезопасности». Для администратора критично выделять и балансировать нужные принципы в зависимости от задач системы, уделяя внимание сервисности и приватности.

Аутентификация

Аутентификация — процесс подтверждения достоверности передачи, отправителя или процесса в системе[9]. Аутентификация обеспечивает уверенность получателя в достоверности отправителя и содержания сообщения[8]. Основные способы усиления аутентификации делятся на три группы: использование персональных данных (например, имени, адреса, телефона), доступ к токенам или ключам, а также проверка информации, известной только субъекту (например, паролей)[10].

Целостность

Целостность — это защита информации от несанкционированных изменений[3]. Главная цель — сохранение точности и достоверности данных на протяжении всего жизненного цикла[11][12]. Критически важным условием для целостности информации выступает качественная аутентификация[8]. Целостность определяется числом доверительных ступеней между обменящимися сторонами[12]. Снижение рисков по нарушению целостности достигается путём резервирования аппаратных и программных решений[13]. Недостаточная аутентификация угрожает целостности: например, в больнице слабая политика паролей может позволить неавторизованному пользователю изменить курс лечения пациента[12].

Доступность

Доступность предполагает сохранность данных для получения и модификации их уполномоченными пользователями. Более высокая доступность достигается надёжными каналами передачи и хранилищем[8]. Недоступность может возникать из-за отключения питания, аппаратных сбоев, атак типа DDoS и прочего. Цель — обеспечение постоянно доступной информации. Поддерживать доступность можно резервным питанием, запасными каналами, резервными копиями за пределами основной площадки и непрерывной работой каналов[12].

Конфиденциальность

Конфиденциальность противопоставляется целостности: если целостность — это защита от несанкционированных изменений, то конфиденциальность — это ограничение круга лиц, имеющих доступ к информации[8]. Обычно достигается с помощью криптографии, стеганографии, классификации данных и регулирования доступа[3]. Яркий пример — информационный обмен внутри натовских операций, основанный на ведомственной иерархии информации[14]. В США правила конфиденциальности базируются на HIPAA, политике классификации и принципе «необходимости знать», а также соглашениях о неразглашении[12].

Неотказуемость

Неотказуемость — это подтверждённость происхождения данных, препятствующая отрицанию факта действия со стороны участников[1][3]. Повышение уровня неотказуемости затрудняет отрицание источника или подлинности данных. Неотказуемость страдает при атаках типа человек посередине или фишинг[15].

Взаимодействие принципов

Столпы гарантирования информационной безопасности взаимно влияют друг на друга: повышение одного может ослаблять другой[8]. Например, повышение доступности зачастую противоречит целям интегритета, аутентификации и конфиденциальности[8].

Процесс

Процесс IA начинается с выявления и классификации информационных активов, подлежащих защите. Затем специалист проводит оценку рисков[16]. Определяются уязвимости активов и соответствующие угрозы. Оценка включает анализ вероятности реализации угрозы и потенциального ущерба для заинтересованных сторон[17]. Совокупный риск — сумма произведений вероятности и ущерба от всех угроз.

Далее разрабатывается план управления рисками, предусматривающий меры по снижению, устранению, принятию или передаче рисков и учитывающий превентивные, детективные и реактивные методы.

На практике опора делается на стандартизированные методы, такие как NIST RMF, Risk IT, COBIT, PCI DSS, ISO/IEC 27002. Защитные меры включают технические (например, фаерволы, антивирус), административные (регулярное резервное копирование, жёсткая конфигурация, обучение персонала), а также организационные (создание групп реагирования, CSIRT и др.). Задача IA — не устранить риск полностью, а оптимально управлять им с учётом затрат и выгоды[18].

После внедрения плана проводятся тестирование и последующая оценка эффективности, часто посредством формального аудита[16]. Процесс итеративен: регулярные пересмотры плана и оценки риска на основании данных о результатах[2].

В IA двумя основными процедурами считаются аудит и оценка рисков[16].

Управление бизнес-рисками

Управление бизнес-рисками делится на три ключевых процесса: оценка рисков, смягчение рисков и контроль/оценка результатов. IA — один из методов внедрения управления рисками в организациях, в том числе с помощью таких подходов, как методология «BRICK»[1]. Кроме того, бизнес-управление рисками требуется для соблюдения законодательных и международных норм, например HIPAA[19].

Внедрение IA в корпоративные стратегии возможно через обучение персонала, вовлечение и поддержку высшего руководства, внутренние коммуникации для повышения контроля и управления бизнес-рисками[20].

Ведущие специалисты по безопасности всё чаще используют IA для защиты интеллектуальной собственности, предотвращения утечек данных и даже от действий пользователей самих по себе[17]. Недостаток — повышение одного столпа безопасности часто снижает скорость обработки[8][17]. Использование IA повышает качество управленческих решений, доверие клиентов, устойчивость бизнеса и обеспечивает хорошее корпоративное управление как в частных, так и в государственных организациях[21].

Организации и стандарты

Существует ряд международных и национальных организаций, выпускающих стандарты и рекомендации по IA. В Великобритании, например, такими являются Information Assurance Advisory Council и Группа сотрудничества по гарантированию информационной безопасности[4].

Примечания

  1. ↑ 1 2 3 4 Sosin, Artur (2018-04-01). “How to increase the information assurance in the information age”. Journal of Defense Resources Management [англ.]. 9 (1): 45—57. ISSN 2068-9403. Дата обращения 2024-06-16.
  2. ↑ 1 2 McConnell, M. (апрель 2002). “Information assurance in the twenty-first century”. Computer [англ.]. 35 (4): supl16—supl19. DOI:10.1109/MC.2002.1012425. ISSN 0018-9162. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском); |access-date= требует |url= (справка)
  3. ↑ 1 2 3 4 5 6 Cummings, R. (декабрь 2002). “The evolution of information assurance”. Computer [англ.]. 35 (12): 65—72. DOI:10.1109/MC.2002.1106181. ISSN 0018-9162. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском); |access-date= требует |url= (справка)
  4. ↑ 1 2 Pringle, Nick; Burgess, Mikhaila (май 2014). “Information assurance in a distributed forensic cluster”. Digital Investigation [англ.]. 11: S36—S44. DOI:10.1016/j.diin.2014.03.005. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском); |access-date= требует |url= (справка)
  5. ↑ Chakraborty, Rajarshi; Ramireddy, Srilakshmi; Raghu, T.S.; Rao, H.Raghav (июль 2010). “The Information Assurance Practices of Cloud Computing Vendors”. IT Professional. 12 (4): 29—37. DOI:10.1109/mitp.2010.44. ISSN 1520-9202. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском)
  6. ↑ Luenam, P. The design of an adaptive intrusion tolerant database system // Foundations of Intrusion Tolerant Systems, 2003 [Organically Assured and Survivable Information Systems] / P. Luenam, Peng Liu. — IEEE, 2003. — P. 14–21. — ISBN 0-7695-2057-X. — doi:10.1109/fits.2003.1264925.
  7. ↑ Liu, Peng. Incentive-based modeling and inference of attacker intent, objectives, and strategies // Proceedings of the 10th ACM conference on Computer and communications security / Peng Liu, Wanyu Zang. — New York, New York, USA : ACM Press, 2003. — P. 179. — ISBN 1-58113-738-9. — doi:10.1145/948109.948135.
  8. ↑ 1 2 3 4 5 6 7 8 9 Wilson, Kelce S. (июль 2013). “Conflicts Among the Pillars of Information Assurance”. IT Professional. 15 (4): 44—49. DOI:10.1109/mitp.2012.24. ISSN 1520-9202. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском)
  9. ↑ Sadiku, Matthew; Alam, Shumon; Musa, Sarhan Information Assurance Benefits and Challenges: An Introduction. procon.bg (2017). Дата обращения: 16 июня 2024. Архивировано 7 октября 2022 года.
  10. ↑ San Nicolas-Rocca, Tonia; Burkhard, Richard J (17 июня 2019). “Information Security in Libraries”. Information Technology and Libraries. 38 (2): 58—71. DOI:10.6017/ital.v38i2.10973. ISSN 2163-5226. Дата обращения 2024-06-16. |access-date= требует |url= (справка)
  11. ↑ Boritz, J. Efrim (декабрь 2005). “IS practitioners' views on core concepts of information integrity”. International Journal of Accounting Information Systems [англ.]. 6 (4): 260—279. DOI:10.1016/j.accinf.2005.07.001. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском)
  12. ↑ 1 2 3 4 5 Schou, C.D.; Frost, J.; Maconachy, W.V. (январь 2004). “Information assurance in biomedical informatics systems”. IEEE Engineering in Medicine and Biology Magazine [англ.]. 23 (1): 110—118. DOI:10.1109/MEMB.2004.1297181. ISSN 0739-5175. PMID 15154266. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском); |access-date= требует |url= (справка)
  13. ↑ Yan, Aibin; Hu, Yuanjie; Cui, Jie; Chen, Zhili; Huang, Zhengfeng; Ni, Tianming; Girard, Patrick; Wen, Xiaoqing (1 июня 2020). “Information Assurance Through Redundant Design: A Novel TNU Error-Resilient Latch for Harsh Radiation Environment”. IEEE Transactions on Computers. 69 (6): 789—799. DOI:10.1109/tc.2020.2966200. ISSN 0018-9340. Дата обращения 2024-06-16.
  14. ↑ Hanna, Michael; Granzow, David; Bolte, Bjorn; Alvarado, Andrew (2017). “NATO Intelligence and Information Sharing: Improving NATO Strategy for Stabilization and Reconstruction Operations”. Connections: The Quarterly Journal. 16 (4): 5—34. DOI:10.11610/connections.16.4.01. ISSN 1812-1098. Дата обращения 2024-06-16. |access-date= требует |url= (справка)
  15. ↑ Chen, Chin-Ling; Chiang, Mao-Lun; Hsieh, Hui-Ching; Liu, Ching-Cheng; Deng, Yong-Yuan (8 мая 2020). “A Lightweight Mutual Authentication with Wearable Device in Location-Based Mobile Edge Computing”. Wireless Personal Communications. 113 (1): 575—598. DOI:10.1007/s11277-020-07240-2. ISSN 0929-6212. Дата обращения 2024-06-16.
  16. ↑ 1 2 3 Such, Jose M.; Gouglidis, Antonios; Knowles, William; Misra, Gaurav; Rashid, Awais (июль 2016). “Information assurance techniques: Perceived cost effectiveness”. Computers & Security [англ.]. 60: 117—133. DOI:10.1016/j.cose.2016.03.009. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском)
  17. ↑ 1 2 3 Johnson, M. E.; Goetz, E.; Pfleeger, S. L. (май 2009). “Security through Information Risk Management”. IEEE Security & Privacy. 7 (3): 45—52. DOI:10.1109/MSP.2009.77. ISSN 1558-4046. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском); |access-date= требует |url= (справка)
  18. ↑ Singh, R.; Salam, A.F. (май 2006). “Semantic information assurance for secure distributed knowledge management: a business process perspective”. IEEE Transactions on Systems, Man, and Cybernetics - Part A: Systems and Humans. 36 (3): 472—486. DOI:10.1109/TSMCA.2006.871792. ISSN 1083-4427. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском); |access-date= требует |url= (справка)
  19. ↑ Park, Insu; Sharman, Raj; Rao, H. Raghav (2 февраля 2015). “Disaster Experience and Hospital Information Systems: An Examination of Perceived Information Assurance, Risk, Resilience, and HIS Usefulness”. MIS Quarterly. 39 (2): 317—344. DOI:10.25300/misq/2015/39.2.03. ISSN 0276-7783. Дата обращения 2024-06-16.
  20. ↑ McFadzean, Elspeth; Ezingeard, Jean-Noël; Birchall, David (8 апреля 2011). “Information Assurance and Corporate Strategy: A Delphi Study of Choices, Challenges, and Developments for the Future”. Information Systems Management [англ.]. 28 (2): 102—129. DOI:10.1080/10580530.2011.562127. ISSN 1058-0530. Дата обращения 2024-06-16.
  21. ↑ Ezingeard, Jean-Noël; McFadzean, Elspeth; Birchall, David (март 2005). “A Model of Information Assurance Benefits”. Information Systems Management [англ.]. 22 (2): 20—29. DOI:10.1201/1078/45099.22.2.20050301/87274.3. ISSN 1058-0530. Дата обращения 2024-06-16. Проверьте дату в |date= (справка на английском)

Литература

  • Data Encryption; Scientists at Chang Gung University Target Data Encryption. (май 2011). Information Technology Newsweekly, 149. Дата обращения: 30 октября 2011. ProQuest Computing. (Document ID: 2350804731).
  • Stephenson (2010). “Authentication: A pillar of information assurance”. SC Magazine. 21 (1): 55.
  • Cummings, Roger (2002). “The Evolution of Information Assurance” (PDF). Computer. 35 (12): 65—72. DOI:10.1109/MC.2002.1106181. Дата обращения 2024-06-16.

Ссылки

Категории