АссистентНовый вопросИсторияОбласти знаний
Партнёрские проектыСпецпроектыСтать автором
Сменить язык
О РУВИКИ

Информационная безопасность

Экспертиза РАН

Logo-ran.pngLogo-ran-black.png
Проводится экспертиза
Российской академией наук
Подробнее
Times2.svg

Экспертиза РАН

Arrow-Right.png
Logo-ran.png
Проводится экспертиза
Российской академией наук
Подробнее

Информационная безопасность (англ. information security, infosec) — это совокупность практик по защите информации путём снижения информационных рисков. Информационная безопасность является частью управления информационными рисками[1]. Обычно к мерам информационной безопасности относят предотвращение или снижение вероятности несанкционированного или неправомерного доступа к данным, незаконного использования, разглашения, разрушения, удаления, изменения, искажения, модификации, просмотра, записи или обесценивания информации, а также действия по снижению негативных последствий таких инцидентов. Защищаемая информация может иметь любую форму: электронную или физическую, материальную (например, бумажные документы) или нематериальную (например, знания)[2][3]. Основной задачей информационной безопасности является сбалансированная защита конфиденциальности, целостности и доступности данных («триада КЦД» — конфиденциальность, целостность, доступность, англ. CIA triad)[4][5], при эффективном внедрении политик безопасности и без ущерба для продуктивности организации[6]. Это достигается за счёт структурированного процесса управления рисками[7].

Стандартизация в области информационной безопасности обеспечивается сотрудничеством специалистов и учёных, которые разрабатывают руководства, стандарты и рекомендации по паролям, антивирусному ПО, фаерволам, шифрованию, юридической ответственности, повышению осведомлённости в области безопасности и т. д[8]. На стандартизацию этой отрасли влияют, кроме того, законы и нормативные акты, регулирующие доступ к данным, их обработку, хранение, передачу и уничтожение[9].

В условиях увеличения цифровизации бизнеса специалисты по ИБ применяют технологии безопасности для компьютерных и других ИТ-систем, обеспечивая их защиту от атак и попыток получить доступ к критически важной информации[10]. На крупных предприятиях такие специалисты отвечают за защиту всей корпоративной инфраструктуры от умышленных атак[11]. Существуют различные специализации — от защиты сетей и приложений до аудита информационных систем, обеспечения непрерывности бизнеса и цифровой криминалистики[12].

Определения

Стандарты информационной безопасности включают в себя методы и практики защиты информации пользователя или организации, относясь ко всей инфраструктуре: пользователям, сетям, устройствам, программному обеспечению, процессам, данным на хранении и в передаче, приложениям, сервисам и системам[13]. Главная цель — снижение рисков, включая предотвращение или смягчение последствий атак. Стандарты содержат инструменты, политики, концепции безопасности, методы защиты, руководства, приёмы управления рисками, действия, обучение, лучшие практики, подтверждение корректности и используемые технологии.

undefined

Существуют различные определения информационной безопасности, сформулированные международными стандартами и организациями:

  1. «Сохранение конфиденциальности, целостности и доступности информации. Примечание: могут также включаться такие свойства, как подлинность, подотчётность, невозможность отказа от авторства и надёжность». (ISO/IEC 27000:2018)[14]
  2. «Защита информации и информационных систем от несанкционированного доступа, использования, разглашения, модификации, уничтожения либо нарушения, чтобы обеспечить конфиденциальность, целостность и доступность». (CNSS, 2010)[15]
  3. «Гарантия, что только авторизованные пользователи (конфиденциальность) имеют доступ к точной и полной информации (целостность) тогда, когда это необходимо (доступность)». (ISACA, 2008)[16]
  4. «Информационная безопасность — процесс защиты интеллектуальной собственности организации». (Пипкин, 2000)[17]
  5. «Информационная безопасность — дисциплина управления рисками, задача которой — управлять стоимостью информационного риска для бизнеса». (МакДермотт и Гир, 2001)[18]
  6. «Обоснованная степень уверенности, что информационные риски и меры контроля сбалансированы». (Андерсон, J., 2003)[19]
  7. «Информационная безопасность — это защита информации и минимизация риска раскрытия сведений неавторизованным лицам». (Вентер и Эллоф, 2003)[20]
  8. «Информационная безопасность — это многопрофильная область, связанная с разработкой и внедрением механизмов защиты всех возможных типов (технических, организационных, человеко-ориентированных и правовых) для сохранения сведений в любых их местоположениях»[21].
  9. Защита информации и информационных ресурсов, использующих телекоммуникационные системы или устройства, от несанкционированного доступа, повреждения, кражи или уничтожения (Курос и Росс, 2010)[22].

Zero Trust (нулевое доверие)

Zero Trust (нулевое доверие) — это стратегический подход к информационной безопасности, который полностью отменяет понятие автоматического доверия внутри корпоративной сети. Главный руководящий принцип концепции формулируется как «никогда не доверяй, всегда проверяй». В отличие от классической модели, защищающей только внешний периметр организации, Zero Trust исходит из предположения, что угроза изначально находится внутри сети[23][24][25].

См. также

Примечания

  1. ↑ Joshi, Chanchala; Singh, Umesh Kumar (август 2017). “Information security risks management framework – A step towards mitigating security risks in university network”. Journal of Information Security and Applications. 35: 128—137. DOI:10.1016/j.jisa.2017.06.006. ISSN 2214-2126. Проверьте дату в |date= (справка на английском)
  2. ↑ Daniel, Kent; Titman, Sheridan (август 2006). “Market Reactions to Tangible and Intangible Information”. The Journal of Finance. 61 (4): 1605—1643. DOI:10.1111/j.1540-6261.2006.00884.x. Проверьте дату в |date= (справка на английском)
  3. ↑ Fink, Kerstin. Knowledge Potential Measurement and Uncertainty. — Deutscher Universitätsverlag, 2004. — ISBN 978-3-322-81240-7.
  4. ↑ Samonas, S.; Coss, D. (2014). “The CIA Strikes Back: Redefining Confidentiality, Integrity and Availability in Security”. Journal of Information System Security. 10 (3): 21—45. Архивировано из оригинала 2018-09-22. Дата обращения 2018-01-25.
  5. ↑ Ledesma, Josue What is the CIA Triad? Varonis Systems (16 июня 2023). Дата обращения: 21 марта 2025.
  6. ↑ Keyser, Tobias. Security policy. — CRC Press, 2018-04-19. — P. 57–62. — ISBN 978-1-315-38548-8. — doi:10.1201/9781315385488-13.
  7. ↑ Danzig, Richard The big three: Our greatest security risks and how to address them (1995). Архивировано 19 января 2022 года.
  8. ↑ Lyu, M.R. Firewall security: Policies, testing and performance evaluation // Proceedings 24th Annual International Computer Software and Applications Conference. COMPSAC2000 / M.R. Lyu, L.K.Y. Lau. — IEEE Comput. Soc, 2000. — P. 116–121. — ISBN 0-7695-0792-1. — doi:10.1109/cmpsac.2000.884700.
  9. ↑ How the Lack of Data Standardization Impedes Data-Driven Healthcare. — John Wiley & Sons, Inc., 2015-10-17. — P. 29. — ISBN 978-1-119-20501-2. — doi:10.1002/9781119205012.ch3.
  10. ↑ “Secure estimation subject to cyber stochastic attacks”. Cloud Control Systems. Emerging Methodologies and Applications in Modelling. Elsevier: 373—404. 2020. DOI:10.1016/b978-0-12-818701-2.00021-4. ISBN 978-0-12-818701-2. S2CID 240746156.
  11. ↑ Nijmeijer, H. Synchronization of mechanical systems. — World Scientific, 2003. — ISBN 978-981-279-497-0.
  12. ↑ 9 Types of Cybersecurity Specializations. Архивировано 12 сентября 2025 года.
  13. ↑ ITU-T Recommendation database. Архивировано 18 сентября 2025 года.
  14. ↑ ISO/IEC 27000:2018 (E). (2018). Information technology — Security techniques — Information security management systems — Overview and vocabulary. ISO/IEC.
  15. ↑ Committee on National Security Systems: National Information Assurance (IA) Glossary, CNSS Instruction No. 4009, 26 April 2010.
  16. ↑ Glossary of terms, 2008. ISACA (2008). Архивировано 14 июля 2010 года.
  17. ↑ Pipkin, D. (2000). Information security: Protecting the global enterprise. New York: Hewlett-Packard Company.
  18. ↑ B., McDermott, E., & Geer, D. (2001). Information security is information risk management. In Proceedings of the 2001 Workshop on New Security Paradigms NSPW '01, (pp. 97 — 104). ACM. doi:10.1145/508171.508187
  19. ↑ Anderson, J. M. (2003). “Why we need a new definition of information security”. Computers & Security. 22 (4): 308—313. DOI:10.1016/S0167-4048(03)00407-3.
  20. ↑ Venter, H. S.; Eloff, J. H. P. (2003). “A taxonomy for information security technologies”. Computers & Security. 22 (4): 299—307. DOI:10.1016/S0167-4048(03)00406-1.
  21. ↑ Gold, S (декабрь 2004). “Threats looming beyond the perimeter”. Information Security Technical Report. 9 (4): 12—14. DOI:10.1016/S1742-6847(04)00129-6. ISSN 1363-4127. Проверьте дату в |date= (справка на английском)
  22. ↑ Бучик, С. С.; Юдін, О. К.; Нетребко, Р. В. (2016-12-21). “The analysis of methods of determination of functional types of security of the information-telecommunication system from an unauthorized access”. Problems of Informatization and Management. 4 (56). DOI:10.18372/2073-4751.4.13135. ISSN 2073-4751.
  23. ↑ Что такое Zero Trust? Модель безопасности, Хабр. Дата обращения: 8 июня 2026.
  24. ↑ Безопасность с нулевым доверием: как начать правильно, Malwarebytes. Дата обращения: 8 июня 2026.
  25. ↑ Что такое архитектура "Никому не доверяй"? Microsoft.. Дата обращения: 8 июня 2026.

Литература

  • Allen, Julia H. The CERT Guide to System and Network Security Practices. — Boston, MA : Addison-Wesley, 2001. — ISBN 978-0-201-73723-3.
  • Krutz, Ronald L. The CISSP Prep Guide / Ronald L. Krutz, Russell Dean Vines. — Gold. — Indianapolis, IN : Wiley, 2003. — ISBN 978-0-471-26802-4.
  • Layton, Timothy P. Information Security: Design, Implementation, Measurement, and Compliance. — Boca Raton, FL : Auerbach publications, 2007. — ISBN 978-0-8493-7087-8.
  • McNab, Chris. Network Security Assessment. — Sebastopol, CA : O'Reilly, 2004. — ISBN 978-0-596-00611-2.
  • Peltier, Thomas R. Information Security Risk Analysis. — Boca Raton, FL : Auerbach publications, 2001. — ISBN 978-0-8493-0880-2.
  • Peltier, Thomas R. Information Security Policies, Procedures, and Standards: guidelines for effective information security management. — Boca Raton, FL : Auerbach publications, 2002. — ISBN 978-0-8493-1137-6.
  • White, Gregory. All-in-one Security+ Certification Exam Guide. — Emeryville, CA : McGraw-Hill/Osborne, 2003. — ISBN 978-0-07-222633-1.
  • Dhillon, Gurpreet. Principles of Information Systems Security: text and cases. — NY : John Wiley & Sons, 2007. — ISBN 978-0-471-45056-6.
  • Whitman, Michael. Principles of Information Security / Michael Whitman, Herbert Mattord. — Cengage, 2017. — ISBN 978-1-337-10206-3.

Ссылки

Категории