Informationssikkerhed

Den aktuelle version af siden er endnu ikke blevet gennemgået af erfarne bidragydere og kan afvige væsentligt fra den version , der blev gennemgået den 19. september 2022; verifikation kræver 1 redigering .

Informationssikkerhed ( engelsk  Information Security , og også - engelsk  InfoSec ) er praksis med at forhindre uautoriseret adgang , brug, offentliggørelse, forvrængning, ændring, forskning, registrering eller ødelæggelse af information . Dette universelle koncept gælder uanset hvilken form dataene kan antage (elektronisk eller f.eks. fysisk). Hovedopgaven for informationssikkerhed er en afbalanceret beskyttelse af fortrolighed , integritet og tilgængelighed af data [1] under hensyntagen til applikationens hensigtsmæssighed og uden skaderorganisationens præstationer [2] . Dette opnås primært gennem en flertrins risikostyringsproces , der identificerer anlægsaktiver og immaterielle aktiver , kilder til trusler , sårbarheder , potentielle påvirkninger og risikostyringsmuligheder. Denne proces ledsages af en vurdering af effektiviteten af ​​risikostyringsplanen [3] .

For at standardisere denne aktivitet er de videnskabelige og faglige miljøer i konstant samarbejde med det formål at udvikle en grundlæggende metodologi, politikker og industristandarder inden for tekniske informationssikkerhedsforanstaltninger, juridisk ansvar samt bruger- og administratoruddannelsesstandarder . Denne standardisering er i høj grad drevet af en lang række love og regler, der styrer, hvordan data tilgås, behandles, opbevares og transmitteres. Implementeringen af ​​standarder og metoder i en organisation kan dog kun have en overfladisk effekt, hvis kulturen for løbende forbedring ikke er korrekt indpodet [4] .

Generel information

Grundlaget for informationssikkerhed er aktiviteten med at beskytte information - at sikre dens fortrolighed, tilgængelighed og integritet, samt forhindre ethvert kompromis i en kritisk situation [5] . Sådanne situationer omfatter naturkatastrofer, menneskeskabte og sociale katastrofer , computerfejl, fysisk bortførelse og lignende fænomener. Mens registreringen af ​​de fleste organisationer i verden stadig er baseret på papirdokumenter [6] , der kræver passende informationssikkerhedsforanstaltninger, har der været en støt stigning i antallet af initiativer til at indføre digitale teknologier i virksomheder [7] [8] , som indebærer inddragelse af IT -sikkerhedsprofessionelle for at beskytte information. Disse specialister leverer informationssikkerhedsteknologi (i de fleste tilfælde - en slags computersystemer ) . En computer betyder i denne sammenhæng ikke kun en husstands personlig computer , men digitale enheder af enhver kompleksitet og formål, lige fra primitive og isolerede, som elektroniske regnemaskiner og husholdningsapparater, op til industrielle kontrolsystemer og supercomputere forenet af computernetværk . De største virksomheder og organisationer, på grund af den vitale betydning og værdi af information for deres virksomhed, ansætter som regel informationssikkerhedsspecialister til deres personale. Deres opgave er at sikre alle teknologier mod ondsindede cyberangreb , ofte rettet mod at stjæle følsomme fortrolige oplysninger eller tage kontrol over en organisations interne systemer.

Informationssikkerhed som beskæftigelsesområde har udviklet sig og vokset markant i de seneste år. Det har affødt mange professionelle specialiseringer, såsom netværks- og relateret infrastruktursikkerhed , software- og databasebeskyttelse , revision af informationssystemer , planlægning af forretningskontinuitet , elektronisk registrering af registreringer og computerefterforskning . Informationssikkerhedsprofessionelle har en meget stabil beskæftigelse og stor efterspørgsel på arbejdsmarkedet. Storstilet forskning udført af organisationen (ISC)² viste, at 66 % af informationssikkerhedslederne i 2017 anerkendte en akut mangel på arbejdskraft i deres afdelinger, og ifølge prognoser vil manglen på specialister inden for dette område i 2022 være 1.800.000 mennesker på verdensplan [9] .

Trusler og modforanstaltninger

Informationssikkerhedstrusler kan antage mange forskellige former. For 2018 er de mest alvorlige truslerne forbundet med " kriminalitet som en tjeneste " ( eng.  Crime-as-a-Service ), tingenes internet , forsyningskæder og komplikationen af ​​regulatoriske krav [10] . Crime as a Service er en model for modne kriminelle samfund til at levere pakker af kriminelle tjenester på darknet-markedet til overkommelige priser til nye cyberkriminelle [K 1] . Dette gør det muligt for sidstnævnte at lave hackerangreb, der tidligere var utilgængelige på grund af høj teknisk kompleksitet eller høje omkostninger, hvilket gør cyberkriminalitet til et massefænomen [12] . Organisationer implementerer aktivt Internet of Things, hvilke enheder ofte er designet uden sikkerhedskrav, hvilket åbner op for yderligere muligheder for angreb. Derudover reducerer den hurtige udvikling og kompleksitet af Internet of Things dets gennemsigtighed, hvilket kombineret med vagt definerede juridiske regler og betingelser gør det muligt for organisationer at bruge personlige data fra deres kunder indsamlet af enheder efter deres eget skøn uden deres viden. Derudover er det problematisk for organisationer selv at holde styr på, hvilke af de data, der indsamles af IoT-enheder, der overføres udenfor. Truslen mod forsyningskæderne er, at organisationer har tendens til at dele en række værdifulde og følsomme oplysninger med deres leverandører , hvilket resulterer i tab af direkte kontrol over dem. Dermed øges risikoen for krænkelse af fortroligheden, integriteten eller tilgængeligheden af ​​disse oplysninger betydeligt. Flere og flere nye krav fra tilsynsmyndigheder komplicerer betydeligt forvaltningen af ​​organisationers vitale informationsaktiver. For eksempel kræver den generelle databeskyttelsesforordning (GDPR ) , vedtaget i Den Europæiske Union i 2018 , enhver organisation til enhver tid i enhver del af sin egen aktivitet eller forsyningskæde at demonstrere, hvilke personlige data og for hvilke mål der er tilgængelige der, hvordan de behandles, opbevares og beskyttes. Desuden skal disse oplysninger gives ikke kun under inspektioner af autoriserede organer, men også på første anmodning fra en privatperson - ejeren af ​​disse data. Overholdelse af en sådan overholdelse kræver afledning af betydelige budgetmidler og ressourcer fra andre informationssikkerhedsopgaver i organisationen. Og selvom en effektivisering af behandlingen af ​​personoplysninger indebærer en forbedring af informationssikkerheden på lang sigt, øges organisationens risici på kort sigt markant [10] .  

De fleste mennesker er på den ene eller anden måde udsat for trusler mod informationssikkerhed. For eksempel bliver de ofre for malware ( virus og orme , trojanske heste , ransomware ) [13] , phishing eller identitetstyveri . Phishing ( eng.  Phishing ) er et svigagtigt forsøg [K 2] på at tage fortrolige oplysninger i besiddelse (for eksempel en konto , adgangskode eller kreditkortoplysninger ). Normalt forsøger de at lokke internetbrugeren til en svigagtig hjemmeside , der ikke kan skelnes fra den originale hjemmeside for enhver organisation ( bank , onlinebutik , socialt netværk osv.) [14] [15] . Som regel udføres sådanne forsøg ved hjælp af masseudsendelser af falske e-mails, angiveligt på vegne af organisationen selv [16] , der indeholder links til bedrageriske websteder. Ved at åbne et sådant link i en browser indtaster en intetanende bruger deres legitimationsoplysninger, som bliver svindleres ejendom [17] . Udtrykket identitetstyveri fra  engelsk.  —  "identitetstyveri" dukkede op på engelsk i 1964 [18] for at henvise til aktiviteter, hvor en persons personlige data (f.eks. navn, bankkonto eller kreditkortnummer, ofte opnået gennem phishing) bruges til bedrageri og begå andre forbrydelser [19 ] [20] . Den, på hvis vegne de kriminelle modtager ulovlige økonomiske fordele, lån eller begår anden kriminalitet, bliver ofte selv tiltalt, hvilket kan have vidtrækkende alvorlige økonomiske og juridiske konsekvenser for ham [21] . Informationssikkerhed har en direkte indvirkning på privatlivets fred [22] , hvis definition kan være meget forskellig i forskellige kulturer [23] .

Regeringer , militæret , virksomheder , finansielle institutioner , medicinske institutioner og private virksomheder akkumulerer konstant betydelige mængder af fortrolig information om deres ansatte, kunder, produkter, forskning og økonomiske resultater . Hvis sådanne oplysninger falder i hænderne på konkurrenter eller cyberkriminelle, kan det føre til vidtrækkende juridiske konsekvenser for organisationen og dens kunder, samt uoprettelige økonomiske og omdømmetab . Fra et forretningsmæssigt perspektiv skal informationssikkerhed balanceres mod omkostninger; Gordon-Lobs økonomiske model beskriver det matematiske apparat til løsning af dette problem [24] . De vigtigste måder at imødegå informationssikkerhedstrusler eller informationsrisici er:

• afbødning  - implementering af sikkerhed og modforanstaltninger for at adressere sårbarheder og forhindre trusler;
• overførsel  - overførsel af omkostninger forbundet med implementeringen af ​​trusler mod tredjeparter: forsikrings- eller outsourcingselskaber ;
• accept  - dannelsen af ​​finansielle reserver i tilfælde af, at omkostningerne ved at implementere sikkerhedsforanstaltninger overstiger den potentielle skade fra implementeringen af ​​truslen;
• afslag  - afslag fra alt for risikabel aktivitet [25] .

Historie

Med fremkomsten af ​​de tidligste kommunikationsmidler indså diplomater og militærledere behovet for at udvikle mekanismer til at beskytte fortrolig korrespondance og måder at opdage forsøg på at forfalske den . For eksempel er Julius Cæsar krediteret med opfindelsen omkring 50 f.Kr. e. Cæsar-chifferet , som havde til formål at forhindre, at hans hemmelige beskeder blev læst af dem, som de ikke var tiltænkt [26] . Selvom beskyttelsen for det meste blev ydet af kontrol over selve proceduren for håndtering af hemmelig korrespondance. Fortrolige meddelelser blev markeret til at være beskyttet og kun transmitteret med betroede personer under beskyttelse, opbevaret i sikre rum eller stærke kasser [27] .

Med udviklingen af ​​posten begyndte statslige organisationer at dukke op for at opsnappe, dekryptere, læse og genforsegle breve. Så i England til disse formål var der i 1653 et Secret Office ( Eng.  Secret Office ) [28] . I Rusland er gennemlæsning blevet foretaget i det mindste siden Peter I 's tid  - siden 1690 blev alle breve sendt til udlandet åbnet i Smolensk . Praksis med hemmelig kopiering af næsten alle udenlandske diplomaters korrespondance, så adressaten ikke havde nogen mistanke, fik i midten af ​​1700-tallet en systemisk karakter - de såkaldte "sorte embeder" dukkede op [29] . Efter åbningen var det påkrævet at foretage en krypteringsanalyse af meddelelsen, for hvilken kendte matematikere fra deres tid var involveret i aktiviteterne i sorte kabinetter. De mest fremragende resultater blev opnået af Christian Goldbach , som formåede at tyde 61 breve fra preussiske og franske ministre på seks måneders arbejde. I nogle tilfælde, efter den vellykkede dekryptering af brevet, blev dets indhold erstattet - en slags angreb " mand i midten " [30] .

I begyndelsen af ​​det 19. århundrede i Rusland, da Alexander I kom til magten , blev al kryptografisk aktivitet overført til udenrigsministeriets kontor . Siden 1803 var den fremragende russiske videnskabsmand Pavel Lvovich Schilling i denne afdelings tjeneste . En af kancelliets mest betydningsfulde bedrifter var dechiffreringen af ​​Napoleon I 's ordrer og korrespondance under den patriotiske krig i 1812 [31] [32] . I midten af ​​det 19. århundrede dukkede mere sofistikerede systemer til klassificering af klassificeret information op , som gjorde det muligt for regeringer at administrere information i overensstemmelse med dens grad af fortrolighed. For eksempel legitimerede den britiske regering til en vis grad en sådan klassificering i 1889 med offentliggørelsen af ​​Official Secrets Act [33] .

Under Første Verdenskrig blev lagdelte klassifikations- og krypteringssystemer brugt til at overføre information fra alle stridende parter, hvilket bidrog til fremkomsten og den kraftige brug af krypterings- og krypteringsenheder. Ved udgangen af ​​1914 blev en af ​​sektionerne af det britiske admiralitet  - " rum 40 " - dannet, som blev den førende kryptografiske autoritet i Storbritannien. Den 26. august 1914 sad den lette tyske krydser " Magdeburg " på stenene nær øen Odensholm ved mundingen af ​​Finske Bugt , som dengang tilhørte det russiske imperium. Tyskerne ødelagde alle dokumenter og sprængte skibet i luften, men efter at have undersøgt bunden fandt de russiske dykkere to kopier af signalbogen, hvoraf den ene blev overdraget til briterne. Efter snart at have modtaget kodebøger for hjælpeskibe, såvel som til kommunikation mellem skibe i det ydre hav og ledsagende fjendtlige skibe, var briterne i stand til at tyde de tyske flådekoder. At bryde koden gjorde det muligt at læse opsnappede fjendens radiobeskeder. Fra slutningen af ​​november 1914 begyndte "rum 40" regelmæssigt at dechifrere radiogrammerne fra den tyske flåde, som transmitterede næsten alle ordrer og ordrer [34] . For første gang forsøgte de at bruge disse dekryptering under den tyske flådes sortie til den britiske kyst den 16. december 1914 [35] .

I mellemkrigstiden blev krypteringssystemer mere og mere komplicerede, så man begyndte at bruge specielle maskiner til at kryptere og dekryptere hemmelige beskeder , hvoraf den mest berømte er Enigma , skabt af tyske ingeniører i 1920'erne. Så tidligt som i 1932 lykkedes det for det polske efterretningstjeneste- cipherbureau at knække Enigma-chifferet ved omvendt konstruktion [36] .

Mængden af ​​information, der blev udvekslet mellem landene i anti-Hitler-koalitionen under Anden Verdenskrig , krævede en formel harmonisering af nationale klassifikationssystemer og kontrol- og forvaltningsprocedurer. Et sæt tavshedsetiketter, som kun er tilgængelige for de indviede, er blevet dannet, som definerer, hvem der kan håndtere dokumenter (generelt betjente frem for hvervede mænd), og hvor de skal opbevares, givet fremkomsten af ​​stadig mere komplekse pengeskabe og bokse. De krigsførende har udviklet procedurer for garanteret destruktion af klassificerede dokumenter. Nogle af overtrædelserne af sådanne procedurer resulterede i de mest betydelige efterretningsgevinster i hele krigen. For eksempel undlod besætningen på den tyske ubåd U-570 korrekt at ødelægge mange hemmelige dokumenter om, at briterne erobrede den [37] . Et slående eksempel på brugen af ​​informationssikkerhedsværktøjer er den ovenfor nævnte Enigma, en kompliceret version af hvilken udkom i 1938 og blev meget brugt af Wehrmacht og andre tjenester i Nazityskland . I Storbritannien blev krypteringsanalyse af modstandsmeddelelser krypteret med Enigma med succes udført af en gruppe ledet af Alan Turing . " Turing Bombe "  -dekrypteringsmaskinen udviklet af dem ydede betydelig assistance til anti  -  Hitler-koalitionen og tilskrives nogle gange en afgørende rolle i de allieredes sejr [38] . I USA, for at kryptere radiokommunikation i operationsteatret i Stillehavet, blev signalister rekrutteret fra Navajo -indianerstammen , hvis sprog ingen uden for USA kendte [39] . Japanerne formåede aldrig at finde nøglen til denne eksotiske metode til beskyttelse af information [40] . I USSR, siden 1930'erne, for at beskytte telefonsamtaler fra landets højeste myndigheder mod aflytning (inklusive hovedkvarteret for den øverste overkommando ), blev den såkaldte HF-kommunikation brugt , baseret på stemmemodulering af højfrekvente signaler og deres efterfølgende scrambling . Imidlertid gjorde manglen på kryptografisk beskyttelse det muligt ved hjælp af et spektrometer at gendanne beskeder i det opsnappede signal [41] .

Anden halvdel af det 20. og begyndelsen af ​​det 21. århundrede var præget af den hurtige udvikling af telekommunikation, computerhardware og -software samt datakryptering. Fremkomsten af ​​kompakt, kraftfuldt og billigt computerudstyr har gjort elektronisk databehandling tilgængelig for små virksomheder og hjemmebrugere. Meget hurtigt blev computere forbundet til internettet , hvilket førte til den eksplosive vækst af elektronisk forretning . Alt dette, kombineret med stigningen i cyberkriminalitet og de mange tilfælde af international terrorisme , har skabt et behov for bedre metoder til at beskytte computere og den information, de lagrer, behandler og transmitterer. Videnskabelige discipliner som " Computersikkerhed " og "Informationssikkerhedsteknikker" [K 3] og mange professionelle organisationer er opstået med det fælles mål at sikre informationssystemernes sikkerhed og pålidelighed [43] .

Grundlæggende definitioner

Beskyttet information  - oplysninger underlagt beskyttelse i overensstemmelse med kravene i lovgivningsmæssige retsakter eller krav fastsat af ejeren af ​​oplysningerne [44] .

Ejeren af ​​oplysninger  er en person, som selvstændigt har oprettet information eller modtagetret til at tillade eller begrænse adgangen til information bestemt af ethvert tegn på grundlag af en lov eller en aftale . Informationsejere kan være: staten , en juridisk enhed , en gruppe af individer, et separat individ [44] .

Informationssikkerhed  er en sådan tilstand af informationssikkerhed, hvor dens fortrolighed , integritet og tilgængelighed er sikret [44] .

Organisering af informationssikkerhed  - et sæt handlinger, der sigter mod at identificere trusler mod informationssikkerheden, planlægning, gennemførelse af foranstaltninger til beskyttelse af information og overvågning af informationsbeskyttelsens tilstand [44] .

Informationssikkerhedssystem  - et sæt af organer og (eller) udførende, den informationssikkerhedsteknologi, de bruger, samt informationssikkerhedsobjekter, organiseret og fungerer i overensstemmelse med kravene til informationssikkerhed [44] .

En organisations informationssikkerhedspolitik er et sæt dokumenterede informationssikkerhedspolitikker, procedurer, praksisser eller retningslinjer, som en organisation følger i sine operationer [44] .

"Informationssikkerhed" i forskellige kilder

Følgende er definitioner af begrebet "informationssikkerhed" fra forskellige kilder:

• Bevarelse af fortrolighed , integritet og tilgængelighed af information. Bemærk : andre egenskaber såsom autenticitet , ansvarlighed , ikke - afvisning og troværdighed [ 45] kan også inkluderes her . 
• Beskyttelse af informations- og informationssystemer mod uautoriseret adgang, brug, offentliggørelse, forvrængning, ændring eller ødelæggelse for at sikre fortrolighed, integritet og tilgængelighed [1] .
• Sikring af beskyttelse af oplysninger i virksomheden mod videregivelse til uautoriserede brugere (fortrolighed), ulovlig ændring (integritet) og utilgængelighed, når det er nødvendigt (tilgængelighed) [46] .
• Processen med at beskytte organisationens intellektuelle ejendom [47] .
• En af de discipliner inden for risikostyring, hvis opgave er at styre omkostningerne ved informationsrisiko for erhvervslivet [48] .
• Rimelig tillid til, at informationsrisici afbalanceres af passende kontrol- og forvaltningsforanstaltninger [49] .
• Informationsbeskyttelse, som minimerer risikoen for videregivelse af oplysninger til uautoriserede personer [50] .
• Et tværfagligt område for forskning og professionel aktivitet, der fokuserer på udvikling og implementering af forskellige sikkerhedsmekanismer (tekniske, organisatoriske, menneskeorienterede, juridiske) for at beskytte information mod trusler, uanset hvor den er placeret (både i og uden for organisationen) perimeter) og følgelig informationssystemer, hvori information skabes, behandles, lagres, transmitteres og destrueres. Listen over sikkerhedsmål kan omfatte fortrolighed, integritet, tilgængelighed, privatliv, ægthed og gyldighed, ikke-afvisning, ansvarlighed og verificerbarhed [51] .
• Balanceprocessen mellem nye, påvirkende trusler og succesen med at imødegå disse trusler fra de statslige myndigheder, der er ansvarlige for statens sikkerhed [52] .

Nøgleprincipper

I 1975 foreslog Jerry Salzer og Michael Schroeder i artiklen "Information Security in Computer Systems" [53] først at opdele sikkerhedsbrud i tre hovedkategorier: uautoriseret informationsfrigivelse , uautoriseret ændring af information ( eng  . Uautoriseret informationsændring ) og uautoriseret nægtelse af adgang ( eng. Uautoriseret nægtelse af brug ) til information. Senere modtog disse kategorier korte navne og standardiserede definitioner:   

C fortrolighed fra  engelsk.  - "fortrolighed" - egenskaben af ​​information, der er utilgængelig eller lukket for uautoriserede personer, enheder eller processer [54] ; Integritet fra engelsk  .  - "integritet" - egenskaben ved at opretholde korrektheden og fuldstændigheden af ​​aktiverne [55] ; En tilgængelighed fra  engelsk.  - "tilgængelighed" - egenskaben af ​​information, der skal være tilgængelig og klar til brug efter anmodning fra en autoriseret person, der har ret til at gøre det [54] .

Samlet omtales disse tre centrale informationssikkerhedsprincipper som CIA-triaden [56] .

I 1992 udgav OECD sin egen model for informationssikkerhed, bestående af ni principper: bevidsthed , ansvarlighed , modstand , etik , demokrati , risikovurdering , sikkerhedsudvikling og implementering , sikkerhedsstyring , revision [57] [K 4] . I 1996, baseret på en OECD-publikation fra 1992, formulerede American National Institute of Standards and Technology (NIST) otte kerneprincipper, der siger, at computersikkerhed "understøtter organisationens mission", "er en integreret del af forsvarlig ledelse", "bør være omkostningseffektiv", "kræver en omfattende og integreret tilgang", "er begrænset af sociale faktorer", "bør revideres med jævne mellemrum", "pligter og ansvar for computersikkerhed bør være klart formuleret", og "systemejere har et ansvar for sikkerhed uden for deres organisation" [59] . Baseret på denne model udgav NIST i 2004 33 informationssikkerhedstekniske designprincipper, for hver af dem blev der udviklet praktiske retningslinjer og anbefalinger, som konstant udvikles og vedligeholdes ajour [60] .

I 1998 tilføjede Donn Parker yderligere tre aspekter til den klassiske CIA - triade : Besiddelse eller kontrol , ægthed og nytte 61 ] . Fordelene ved denne model, kaldet Parker hexad (fra hexad på  engelsk  -  "a group of six items"), er genstand for diskussion blandt informationssikkerhedsspecialister [62] .    

I 2009 udgav det amerikanske forsvarsministerium "Three Fundamental Principles of Computer Security": System Susceptibility , Access to the Flaw , and Capability to Exploit the Flaw [ 63] [64] [65] .    

I 2011 offentliggjorde det internationale konsortium The Open Group O-ISM3 informationssikkerhedsstyringsstandarden , som opgav den konceptuelle definition af komponenterne i den klassiske CIA-triade til fordel for deres operationelle definition . Ifølge O-ISM3 er det for hver organisation muligt at identificere et individuelt sæt sikkerhedsmål relateret til en af ​​fem kategorier, der svarer til en eller anden komponent i triaden: prioriterede sikkerhedsmål (fortrolighed), langsigtede sikkerhedsmål ( integritet), informationskvalitetsmål (integritet), adgangskontrolmål (tilgængelighed) og tekniske sikkerhedsmål . [66] .

Af alle de ovennævnte informationssikkerhedsmodeller er den klassiske CIA-triade stadig den mest anerkendte og udbredte i det internationale professionelle samfund [56] . Det er fastsat i nationale [1] og internationale standarder [45] og er inkluderet i de vigtigste uddannelses- og certificeringsprogrammer for informationssikkerhed, såsom CISSP [67] og CISM [68] . Nogle russiske forfattere bruger et sporingspapir fra det - " CCD - triaden " [56] . I litteraturen omtales alle tre komponenter: fortrolighed, integritet og tilgængelighed synonymt som principper , sikkerhedsattributter , egenskaber , grundlæggende aspekter , informationskriterier , kritiske egenskaber eller grundlæggende strukturelle elementer [5] .

I mellemtiden er der i det professionelle samfund en løbende debat om, hvordan CIA-triaden passer til de hurtigt udviklende teknologier og forretningskrav. Som et resultat af disse diskussioner er der anbefalinger om behovet for at etablere forholdet mellem sikkerhed og privatliv, samt godkendelse af yderligere principper [5] . Nogle af dem er allerede inkluderet i standarderne fra Den Internationale Standardiseringsorganisation (ISO):

• ægthed - en  egenskab , der garanterer, at emnet eller ressourcen er identisk med den erklærede;
• accountability (engelsk accountability) - subjektets ansvar for hans handlinger og beslutninger;
• impossibility of refusal (eng. non-repudiation [K 5] ) - evnen til at attestere begivenheden eller handlingen, der fandt sted og deres emner, således at denne begivenhed eller handling og emnerne relateret til den ikke kunne stilles spørgsmålstegn ved;
• reliability ( engelsk  reliability ) - egenskaben af ​​overholdelse af den tilsigtede adfærd og resultater [45] .

Fortrolighed

Fortrolighed af oplysninger opnås ved at give adgang til dem med de mindste privilegier baseret på princippet om minimum nødvendig bevidsthed ( engelsk  need-to-know ). Med andre ord bør en autoriseret person kun have adgang til de oplysninger, han har brug for for at udføre sine officielle opgaver. De ovenfor nævnte forbrydelser mod privatlivets fred, såsom identitetstyveri, er krænkelser af privatlivets fred. En af de vigtigste foranstaltninger til at sikre fortrolighed er klassificeringen af ​​oplysninger, som gør det muligt at klassificere dem som strengt fortrolige eller beregnet til offentlig eller intern brug. Kryptering af oplysninger er et typisk eksempel på et af midlerne til at sikre fortrolighed [69] .

Integritet

Den nøjagtige implementering af operationer eller vedtagelse af korrekte beslutninger i en organisation er kun mulig på grundlag af pålidelige data, der er lagret i filer, databaser eller systemer eller udsendt over computernetværk. Med andre ord skal oplysningerne beskyttes mod forsætlige, uautoriserede eller utilsigtede ændringer i forhold til den oprindelige tilstand, samt mod enhver forvrængning under lagring, transmission eller behandling. Dens integritet er dog truet af computervirus og logiske bomber , programmeringsfejl og ondsindede kodeændringer, dataspoofing, uautoriseret adgang, bagdøre og lignende. Ud over forsætlige handlinger skyldes uautoriserede ændringer i følsomme oplysninger i mange tilfælde tekniske fejl eller menneskelige fejl på grund af forglemmelse eller manglende faglig uddannelse. For eksempel fører integritetskrænkelser til: utilsigtet sletning af filer, indtastning af fejlagtige værdier, ændring af indstillinger, udførelse af forkerte kommandoer, både af almindelige brugere og systemadministratorer [69] [70] .

For at beskytte informationens integritet er det nødvendigt at anvende en række foranstaltninger til at kontrollere og styre ændringer i informationer og systemer, der behandler dem. Et typisk eksempel på sådanne foranstaltninger er begrænsningen af ​​kredsen af ​​personer med rettigheder til kun at ændre dem, der har brug for en sådan adgang til at udføre deres officielle pligter. Samtidig bør princippet om magtadskillelse overholdes , ifølge hvilket ændringer i data- eller informationssystemet foretages af én person, og en anden person bekræfter eller afviser dem. Derudover skal alle ændringer i informationssystemernes livscyklus være konsistente, testet for at sikre informationsintegritet og kun indføres i systemet ved korrekt udformede transaktioner . Softwareopdateringer skal udføres på en sikker måde. Alle handlinger, der involverer ændringer, skal logges [69] [70] .

Tilgængelighed

Ifølge dette princip skal oplysninger være tilgængelige for autoriserede personer, når det er nødvendigt. De vigtigste faktorer, der påvirker tilgængeligheden af ​​informationssystemer, er DoS-angreb ( forkortelse for Denial of Service fra  engelsk  -  "denial of service"), ransomware-angreb, sabotage . Derudover er utilsigtede menneskelige fejl på grund af tilsyn eller på grund af utilstrækkelig faglig uddannelse en kilde til tilgængelighedstrusler: utilsigtet sletning af filer eller optegnelser i databaser, fejlagtige systemindstillinger; denial of service som følge af overskridelse af den tilladte strømstyrke eller mangel på udstyrsressourcer eller fejl i kommunikationsnetværk; mislykket hardware- eller softwareopdatering; nedlukning af systemer på grund af strømsvigt. Naturkatastrofer spiller også en væsentlig rolle i at forstyrre tilgængeligheden: jordskælv, tornadoer, orkaner, brande, oversvømmelser og lignende. I alle tilfælde mister slutbrugeren adgang til de oplysninger, der er nødvendige for hans aktiviteter, der er en tvungen nedetid. Systemets kritik for brugeren og dets betydning for organisationens overlevelse som helhed bestemmer virkningen af ​​nedetid. Utilstrækkelige sikkerhedsforanstaltninger øger risikoen for malware, dataødelæggelse, indtrængen eller DoS-angreb. Sådanne hændelser kan gøre systemer utilgængelige for normale brugere [71] .

Umulighed af afslag

Udtrykket "non-repudiation" ( engelsk  Non-Repudiation , nogle gange brugt sammen - Nonrepudiation ) optrådte første gang i 1988 i den internationale standard "Security of the interconnection of open systems" (ISO 7498-2). Normalt forstået som modsat i betydningen af ​​det angelsaksiske lovbegreb Repudiation fra  engelsk.  -  "afvisning, benægtelse", som har to hovedfortolkninger. På den ene side betyder det partens grundlæggende ret til at nægte at opfylde forpligtelser i henhold til transaktionen af ​​juridiske grunde [72] , hvis for eksempel underskriften på et papirdokument er forfalsket, eller den originale underskrift er opnået ulovligt (som f.eks. et resultat af svindel). I dette tilfælde påhviler bevisbyrden for underskriftens ægthed den part, der påberåber sig den [73] . En anden fortolkning er uretmæssig afkald på forpligtelser. I forbindelse med computersikkerhed kan dette for eksempel være en af ​​parternes benægtelse af afsendelse, modtagelse, forfatterskab eller indholdet af en elektronisk meddelelse. I forbindelse med informationssikkerhed forstås "ikke-afvisning" som en bekræftelse af integriteten og den oprindelige oprindelse af data, med undtagelse af muligheden for forfalskning, som til enhver tid kan verificeres af tredjeparter, eller som en identifikation (identitet, dokument, genstand), som med høj grad af sikkerhed kan anses for autentisk og ikke kan tilbagevises [73] .

Omfanget (implementeringen) af begrebet "informationssikkerhed"

En systematisk tilgang til beskrivelsen af ​​informationssikkerhed foreslår at udskille følgende komponenter af informationssikkerhed [74] :

1. Lovgivningsmæssigt, reguleringsmæssigt og videnskabeligt grundlag.
2. Struktur og opgaver for organer (afdelinger), der sikrer it-sikkerhed.
3. Organisatoriske, tekniske og regimemæssige foranstaltninger og metoder (informationssikkerhedspolitik).
4. Software og hardware metoder og midler til at sikre informationssikkerhed.

Nedenfor i dette afsnit vil hver af komponenterne i informationssikkerhed blive diskuteret i detaljer.

Formålet med at implementere informationssikkerheden for ethvert objekt er at bygge et informationssikkerhedssystem til dette objekt (ISIS). For konstruktion og effektiv drift af IS Maintenance System er det nødvendigt at:

• identificere informationssikkerhedskrav, der er specifikke for et givet beskyttelsesobjekt;
• tage hensyn til kravene i national og international lovgivning;
• bruge etableret praksis (standarder, metoder) til at opbygge lignende IS-vedligeholdelsessystem;
• bestemme de enheder, der er ansvarlige for implementering og support af IS Maintenance System;
• fordele ansvarsområder i implementeringen af ​​IS Maintenance System-krav mellem afdelinger;
• på grundlag af informationssikkerhedsrisikostyring, fastlægge de generelle bestemmelser, tekniske og organisatoriske krav, der udgør informationssikkerhedspolitikken for det beskyttede objekt;
• implementere kravene i informationssikkerhedspolitikken ved at indføre passende software, hardware, teknik og andre metoder og midler til at beskytte information;
• implementere Information Security Management System (ISMS);
• ved hjælp af ISMS, organisere regelmæssig overvågning af effektiviteten af ​​IS-vedligeholdelsessystemet og om nødvendigt gennemgå og justere IS-vedligeholdelsessystemet og ISMS.

Som det kan ses fra den sidste fase af arbejdet, er implementeringsprocessen for IS Maintenance System kontinuerlig og cyklisk (efter hver revision) vender tilbage til den første fase, idet alle de andre gentages i rækkefølge. Sådan justeres IS Maintenance System til effektivt at opfylde opgaverne med at beskytte information og opfylde de nye krav til et konstant opdateret informationssystem.

Normative dokumenter inden for informationssikkerhed

I Den Russiske Føderation omfatter lovgivningsmæssige retsakter inden for informationssikkerhed [75] :

Lover i føderal lovgivning:

• Internationale traktater i Den Russiske Føderation;
• Den Russiske Føderations forfatning;
• love på føderalt niveau (herunder føderale forfatningslove, koder);
• Dekreter fra præsidenten for Den Russiske Føderation;
• Dekreter fra Den Russiske Føderations regering;
• Normative retsakter fra føderale ministerier og departementer;
• Lovgivningsmæssige retsakter fra de konstituerende enheder i Den Russiske Føderation, lokale regeringer osv.

Listerne og indholdet af de angivne reguleringsdokumenter på informationssikkerhedsområdet er nærmere omtalt i afsnittet Informationslov .

Regulative og metodiske dokumenter omfatter

• Metodologiske dokumenter fra statslige organer i Rusland:
  • Doktrin om informationssikkerhed i Den Russiske Føderation;
  • Vejledende dokumenter fra FSTEC (Statens Tekniske Kommission for Rusland);
  • FSB ordrer;
• Informationssikkerhedsstandarder , hvoraf der er:
  • Internationale standarder;
  • Statslige (nationale) standarder for Den Russiske Føderation;
  • Anbefalinger til standardisering;
  • Metodiske instruktioner.

Organer (afdelinger), der leverer informationssikkerhed

Afhængigt af anvendelsen af ​​aktiviteter inden for informationsbeskyttelse (inden for statslige myndigheder eller kommercielle organisationer) er selve aktiviteten organiseret af særlige statslige organer (afdelinger) eller afdelinger (tjenester) i virksomheden.

Statsorganer i Den Russiske Føderation, der kontrollerer aktiviteter inden for informationssikkerhed:

• Statsdumaens udvalg for sikkerhed ;
• russisk sikkerhedsråd ;
• Federal Service for Technical and Export Control (FSTEC i Rusland);
• Den Russiske Føderations føderale sikkerhedstjeneste (FSB i Rusland);
• Den Russiske Føderations føderale sikkerhedstjeneste (FSO i Rusland);
• Den Russiske Føderations udenlandske efterretningstjeneste (SVR i Rusland);
• Den Russiske Føderations Forsvarsministerium (Ruslands Forsvarsministerium);
• Den Russiske Føderations indenrigsministerium (MVD i Rusland);
• Federal Service for Supervision of Communications, Information Technology and Mass Communications (Roskomnadzor);
• Den Russiske Føderations Centralbank (Ruslands Bank).

Tjenester, der organiserer informationsbeskyttelse på virksomhedsniveau

• Økonomisk Sikkerhedstjeneste ;
• Personalesikkerhedstjeneste (sikkerhedsafdelingen);
• Personaleservice ;
• Informationssikkerhedstjeneste .

Organisatoriske-tekniske og regimemæssige foranstaltninger og metoder

For at beskrive informationssikkerhedsteknologien i et bestemt informationssystem er den såkaldte informationssikkerhedspolitik eller sikkerhedspolitik for det pågældende informationssystem normalt bygget .

Sikkerhedspolitik (information i organisationen) ( eng.  Organisatorisk sikkerhedspolitik ) - et sæt dokumenterede regler, procedurer, praksisser eller retningslinjer inden for informationssikkerhed, der vejleder organisationen i dens aktiviteter.

Informations- og telekommunikationsteknologiers sikkerhedspolitik ( eng.  ІТ sikkerhedspolitik ) - regler, direktiver, etablerede praksisser, der bestemmer, hvordan man inden for en organisation og dens informations- og telekommunikationsteknologier skal administrere, beskytte og distribuere aktiver, herunder kritisk information.

For at opbygge en informationssikkerhedspolitik anbefales det separat at overveje følgende områder af informationssystembeskyttelse [74] :

• Beskyttelse af informationssystemobjekter ;
• Beskyttelse af processer, procedurer og informationsbehandlingsprogrammer ;
• Beskyttelse af kommunikationskanaler ( akustiske , infrarøde, kablede, radiokanaler osv.), herunder informationsbeskyttelse i lokale netværk ;
• Undertrykkelse af elektromagnetisk sidestråling;
• Styring af beskyttelsessystem.

Samtidig bør informationssikkerhedspolitikken for hvert af de ovennævnte områder beskrive følgende trin i oprettelse af informationsbeskyttelsesværktøjer:

1. Definition af information og tekniske ressourcer, der skal beskyttes;
2. Identifikation af det fulde sæt af potentielle trusler og informationslækagekanaler ;
3. Udførelse af en vurdering af sårbarheden og risiciene ved information i nærvær af en række forskellige trusler og lækagekanaler;
4. Fastlæggelse af krav til beskyttelsessystemet;
5. Implementering af valget af informationssikkerhedsværktøjer og deres egenskaber;
6. Implementering og organisering af brugen af ​​udvalgte foranstaltninger, metoder og midler til beskyttelse;
7. Implementering af integritetskontrol og beskyttelsessystemstyring.

Informationssikkerhedspolitikken er formaliseret i form af dokumenterede krav til informationssystemet . Dokumenter er normalt opdelt i henhold til niveauerne for beskrivelse (detaljer) af beskyttelsesprocessen.

Informationssikkerhedspolitikkens øverste dokumenter afspejler organisationens holdning til aktiviteter inden for informationssikkerhed, dens ønske om at overholde statslige, internationale krav og standarder på dette område. Sådanne dokumenter kan kaldes "IS Concept", "IS Management Regulation", "IS Policy", "IS Technical Standard" osv. ekstern og intern brug.

I henhold til GOST R ISO / IEC 17799-2005 skal følgende dokumenter udarbejdes på øverste niveau af informationssikkerhedspolitikken: "IS-sikkerhedskoncept", "Regler for acceptabel brug af informationssystemressourcer", "Business Continuity Plan" ".

Mellemniveauet omfatter dokumenter relateret til visse aspekter af informationssikkerhed. Disse er kravene til oprettelse og drift af informationssikkerhedsværktøjer, organisering af information og forretningsprocesser i organisationen inden for et specifikt område af informationssikkerhed. For eksempel: Datasikkerhed, Kommunikationssikkerhed, Brug af kryptografiske beskyttelsesværktøjer, Indholdsfiltrering osv. Sådanne dokumenter offentliggøres normalt i form af interne tekniske og organisatoriske politikker (standarder) i organisationen. Alle informationssikkerhedspolitiske dokumenter på mellemniveau er fortrolige.

Informationssikkerhedspolitikken på lavere niveau omfatter arbejdsbestemmelser, administrationsmanualer og betjeningsinstruktioner for individuelle informationssikkerhedstjenester.

Software og hardware til informationssikkerhedssystemet

Litteraturen foreslår følgende klassificering af informationssikkerhedsværktøjer [74] .

• Midler til beskyttelse mod uautoriseret adgang :
  • Autorisationsværktøjer ;
  • Obligatorisk adgangskontrol [76] ;
  • Selektiv adgangskontrol ;
  • Rollebaseret adgangskontrol ;
  • Logning (også kaldet Revision ).
• Systemer til analyse og modellering af informationsstrømme ( CASE -systemer).
• Netværksovervågningssystemer:
  • Intrusion detection and prevention systems (IDS/IPS).
  • Fortrolige oplysninger Leak Prevention Systems (DLP-systemer).
• Protokolanalysatorer .
• Antivirus værktøjer .
• Firewalls .
• Kryptografisk betyder :
  • Kryptering ;
  • Digital signatur .
• Backup systemer .
• Uafbrydelige strømsystemer:
  • Uafbrydelige strømforsyninger ;
  • Belastningsredundans;
  • Spændingsgeneratorer .
• Autentificeringssystemer :
  • Adgangskode ;
  • Adgangsnøgle (fysisk eller elektronisk) ;
  • Certifikat ;
  • Biometri .
• Midler til at forhindre hacking af sager og tyveri af udstyr.
• Midler til kontrol af adgang til lokaler .
• Værktøjer til analyse af beskyttelsessystemer:
  • Antivirus .

Organisatorisk beskyttelse af informatiseringsobjekter

Organisatorisk beskyttelse er reguleringen af ​​produktionsaktiviteter og forholdet mellem udøvende kunstnere på et retsgrundlag, der udelukker eller væsentligt hindrer ulovlig besiddelse af fortrolige oplysninger og manifestation af interne og eksterne trusler. Organisatorisk beskyttelse giver:

• organisation af sikkerhed, regime, arbejde med personale, med dokumenter;
• brugen af ​​teknisk sikkerhedsudstyr og informations- og analytiske aktiviteter til at identificere interne og eksterne trusler mod forretningsaktiviteter [77] .

De vigtigste organisatoriske aktiviteter omfatter:

• organisering af regime og beskyttelse. Deres mål er at udelukke muligheden for hemmelig adgang til uautoriserede personers territorium og lokaler;
• tilrettelæggelse af arbejdet med medarbejdere, som giver mulighed for udvælgelse og placering af personale, herunder fortrolighed med medarbejdere, deres undersøgelse, træning i reglerne for at arbejde med fortrolige oplysninger, bekendtgørelse med foranstaltningerne til ansvar for overtrædelse af informationsbeskyttelsesregler osv.
• tilrettelæggelse af arbejdet med dokumenter og dokumenterede oplysninger, herunder tilrettelæggelse af udvikling og brug af dokumenter og bærere af fortrolige oplysninger, deres bogføring, udførelse, returnering, opbevaring og destruktion;
• organisering af brugen af ​​tekniske midler til indsamling, behandling, akkumulering og lagring af fortrolig information;
• tilrettelæggelse af arbejdet med analyse af interne og eksterne trusler mod fortrolige oplysninger og udvikling af foranstaltninger til at sikre deres beskyttelse;
• tilrettelæggelse af arbejdet med at udføre systematisk kontrol med personalets arbejde med fortrolige oplysninger, proceduren for bogføring, opbevaring og destruktion af dokumenter og tekniske medier.

I hvert enkelt tilfælde har organisatoriske foranstaltninger en bestemt form og indhold for denne organisation, der sigter mod at sikre informationssikkerheden under specifikke forhold.

Virksomhedens informationssikkerhed

Virksomhedsinformationssikkerhed er sikkerhedstilstanden for virksomhedsdata, som sikrer deres fortrolighed, integritet, ægthed og tilgængelighed.

Opgaverne for virksomhedens informationssikkerhedssystemer er forskellige:

• sikring af sikker opbevaring af information på medier;
• beskyttelse af data transmitteret via kommunikationskanaler;
• sikkerhedskopier, katastrofegendannelse osv.

Det er kun muligt at sikre en virksomheds informationssikkerhed med en systematisk og integreret tilgang til beskyttelse. En fuldgyldig UPS indebærer løbende overvågning af alle vigtige begivenheder og forhold, der påvirker datasikkerheden og udføres året rundt [78] .

En virksomheds informationssikkerhed opnås ved en lang række organisatoriske og tekniske foranstaltninger, der sigter mod at beskytte virksomhedsdata. Organisatoriske tiltag omfatter dokumenterede procedurer og regler for at arbejde med forskellige typer af informationer, IT-tjenester, sikkerhedsværktøjer osv. Tekniske tiltag omfatter brug af hardware og software adgangskontrol, lækageovervågning, antivirusbeskyttelse, firewalls, beskyttelse mod elektromagnetisk stråling og andet [79] .

At sikre informationssikkerhed er en kontinuerlig proces, der omfatter fem nøgletrin:

1. estimerede omkostninger;
2. udvikling af en sikkerhedspolitik;
3. politik gennemførelse;
4. kvalificeret uddannelse af specialister;
5. revidere.

Processen med at sikre informationssikkerhed begynder med vurderingen af ​​ejendom, bestemmelse af organisationens informationsaktiver, de faktorer, der truer disse oplysninger, og dens sårbarhed, betydningen af ​​den samlede risiko for organisationen. Afhængigt af ejendommen vil der blive udarbejdet et program til beskyttelse af disse aktiver. Når en risiko er blevet identificeret og kvantificeret, kan en omkostningseffektiv modforanstaltning vælges for at mindske denne risiko.

Mål med informationssikkerhedsvurdering:

• bestemme værdien af ​​informationsaktiver;
• identificere trusler mod fortroligheden, integriteten, tilgængeligheden og/eller identificerbarheden af ​​disse aktiver;
• identificere eksisterende sårbarheder i organisationens praktiske aktiviteter;
• identificere organisationens risici i forhold til informationsaktiver;
• foreslå ændringer i eksisterende arbejdspraksis, som vil reducere omfanget af risici til et acceptabelt niveau;
• give grundlag for at skabe et sikkerhedsprojekt.

Fem hovedtyper af vurdering:

• Vurdering af sårbarheder på systemniveau. Computersystemer undersøges for kendte sårbarheder og simple overholdelsespolitikker.
• Vurdering på netværksniveau. Der blev foretaget en vurdering af det eksisterende computernetværk og informationsinfrastruktur, risikozoner blev identificeret.
• Overordnet risikovurdering i organisationen. En analyse af hele organisationen blev foretaget for at identificere trusler mod dens informationsaktiver.
• Revidere. Eksisterende politik og organisationens overholdelse af denne politik undersøges.
• Penetrationstest. Organisationens evne til at reagere på en simuleret penetration er blevet undersøgt.

Ved udførelse af en vurdering skal dokumenter som:

• Sikkerhedspolitik;
• informationspolitik;
• backup politikker og procedurer;
• arbejderens referencemanual eller instruktioner;
• procedurer for ansættelse og afskedigelse af medarbejdere;
• softwareudvikling metodologi;
• metode til softwareændring;
• telekommunikationspolitikker;
• netværksdiagrammer.

Efter at have modtaget ovenstående politikker og procedurer, undersøges hver af dem for relevans, legitimitet, fuldstændighed og relevans, da politikkerne og procedurerne skal være i overensstemmelse med det formål, der er defineret i dokumentet.

Efter vurderingen er det nødvendigt at udvikle politikker og procedurer, der definerer den forventede sikkerhedstilstand og listen over nødvendige arbejder. Der er ingen politik - der er ingen plan, på grundlag af hvilken organisationen vil udvikle og udføre et effektivt UPS-program.

Følgende politikker og procedurer bør udvikles:

• Informationspolitik . Afslører hemmelige oplysninger og metoder til dets behandling, opbevaring, overførsel og ødelæggelse.
• Sikkerhedspolitik. Definerer tekniske kontroller for forskellige computersystemer.
• Brugspolitik. Giver virksomhedens politik for brug af computersystemer.
• Backup politik. Specificerer kravene til sikkerhedskopiering af computersystemer.
• Kontostyringsprocedurer. Definerer de handlinger, der skal udføres, når brugere tilføjes eller fjernes.
• Beredskabsplan. Tilbyder handlinger til at genoprette virksomhedens udstyr efter naturkatastrofer eller menneskeskabte hændelser.

Gennemførelsen af ​​sikkerhedspolitikken består i implementering af tekniske midler og midler til direkte kontrol samt i udvælgelse af sikkerhedspersonale. Ændringer i konfigurationen af ​​systemer uden for sikkerhedsafdelingens område kan være nødvendige, så system- og netværksadministratorer bør involveres i implementeringen af ​​sikkerhedsprogrammet.

Ved brug af nye sikkerhedssystemer skal der være kvalificeret personale til rådighed. En organisation kan ikke sikre beskyttelsen af ​​klassificerede oplysninger uden involvering af dens ansatte. Kompetent professionel omskoling er en mekanisme til at give medarbejderne den nødvendige information.

Medarbejdere skal være opmærksomme på, hvorfor sikkerhedsspørgsmål er så vigtige og skal trænes i at identificere og beskytte følsomme oplysninger.

Revision  er det sidste trin i implementeringsprocessen for informationssikkerhed. Den bestemmer status for informationssikkerhed i organisationen, oprettelse af passende politikker og procedurer, aktivering af tekniske kontroller og uddannelse af personale [80] .

Se også

• GOST ISO / IEC 27000 - en række standarder for informationssikkerhedsstyring
• Informationsbeskyttelse og kontrol
• fælles kriterier
• Kriterier for fastlæggelse af computersystemers sikkerhed
• Forebyggelse af informationslækage
• Standard for Bank of Russia til sikring af informationssikkerhed for organisationer i banksystemet i Den Russiske Føderation (STO BR IBBS)
• Lovovertrædelser inden for teknisk sikring af systemer
• SCAP standard
• Modeller til vurdering af værdien af ​​information
• Statens informationspolitik
• Den Russiske Føderations informationssikkerhedsdoktrin
• Computer sikkerhed
• (ISC)²
• Samlet register over russisk software

Noter

Kommentarer

1. ↑ I den professionelle jargon om informationssikkerhed kaldes cyberkriminelle ofte Black hat fra  engelsk.  -  "sort hat" [11] .
2. ↑ Den russiske straffelov definerer "svig inden for computerinformation" som:

   ... stjæle en andens ejendom eller erhverve retten til en andens ejendom ved at indtaste, slette, blokere, ændre computeroplysninger eller på anden måde forstyrre funktionen af ​​midlerne til lagring, behandling eller transmission af computerinformation eller informations- og telekommunikationsnetværk ...

   - del 6 i art. 159 i Den  Russiske Føderations straffelov
3. ↑ I Rusland er de forenet i den videnskabelige specialisering "05.13.19 Methods and systems of information protection, information security", som dog ikke omfatter forskning inden for kryptografi , algoritmer og metoder til kryptografisk informationsbeskyttelse [42] .
4. ↑ I 2015 blev de erstattet af otte nye: bevidsthed, færdigheder og autoritet ; ansvar ; menneskerettigheder og grundlæggende værdier ; samarbejde ; risikovurdering og styringscyklus ; sikkerhedsforanstaltninger ; innovation ; sikring af beredskab og kontinuitet [58] .
5. ↑ I GOST R ISO / IEC 27000-2012 er udtrykket non-repudiation oversat fra engelsk med lejlighedsvis ikke-repudiation [55] .

Kilder

1. ↑ 1 2 3 NIST IR 7298 r2, 2013 , s. 94-95.
2. ↑ Andrew, 2014 .
3. ↑ NIST IR 7298 r2, 2013 , s. 164.
4. ↑ Schlienger, 2003 , s. 46-52.
5. ↑ 1 2 3 Samonas, 2014 , s. 21-45.
6. ↑ Jacques, 2016 .
7. ↑ Petty, 2017 .
8. ↑ Fornie, 2017 .
9. ↑ Frost & Sullivan, 2017 , s. 2.
10. ↑ 12 Olavsrud , 2017 .
11. ↑ Moore, 2011 .
12. ↑ Europol, 2017 .
13. ↑ Stewart, 2015 , s. 882-883.
14. ↑ Ramzan, 2010 , s. 433.
15. ↑ Van der Merwe, 2005 , s. 249-254.
16. ↑ Dawes, 2012 .
17. ↑ Provos, 2012 .
18. ↑ Identitetstyveri .
19. ↑ Dubal .
20. ↑ Hoofnagle, 2007 .
21. ↑ Armstrong, 2017 .
22. ↑ Gorodyansky, 2013 .
23. ↑ Zemskaya, 2005 .
24. ↑ Gordon & Loeb, 2002 .
25. ↑ Stewart, 2015 , s. 72.
26. ↑ Suetonius Tranquill, 1964 .
27. ↑ Singh, 2009 .
28. ↑ Johnson, 1998 .
29. ↑ Izmozik, 2015 .
30. ↑ Soboleva, 2002 .
31. ↑ Tokareva, 2012 , s. 82-107.
32. ↑ Nosov, 2002 .
33. ↑ Hastedt, 2011 , s. 589-590.
34. ↑ Personale. Kamp på de syv have. — S. 86
35. ↑ Yezhov, 2007 .
36. ↑ Singh, 2009 , s. tredive.
37. ↑ Sebag–Montefiore, 2011 , s. 162.
38. ↑ Singh, 2009 , s. 35.
39. ↑ Zhelnikov, 1996 .
40. ↑ Singh, 2009 , s. 191-201.
41. ↑ Anin, 2000 , s. 67-70.
42. ↑ VAK .
43. ↑ De Nardis, 2007 , s. 681-704.
44. ↑ 1 2 3 4 5 6 Khorev A. A. Organisering af beskyttelsen af ​​fortrolige oplysninger i en kommerciel struktur  // Informationsbeskyttelse. Indvendigt  : magasin. - 2015. - Nr. 1 . - S. 14-17 . — ISSN 2413-3582 . (Russisk)
45. ↑ 1 2 3 GOST R ISO/IEC 27000-2012 , s. 1-3.
46. ↑ ISACA .
47. ↑ Pipkin, 2000 .
48. ↑ Blakley, McDermott & Geer, 2001 .
49. ↑ Anderson, 2003 .
50. ↑ Venter & Eloff, 2003 .
51. ↑ Cherdantseva, 2013 .
52. ↑ Shushkov og Sergeev, 2016 , s. 69-76.
53. ↑ Saltzer & Schroeder, 1975 .
54. ↑ 1 2 GOST R ISO/IEC 27000-2012 , s. 2.
55. ↑ 1 2 GOST R ISO/IEC 27000-2012 , s. 3.
56. ↑ 1 2 3 Lukatsky, 2012 .
57. ↑ OECD, 2002 , s. 9-12.
58. ↑ OECD, 2015 , s. 9-11.
59. ↑ NIST SP 800-14, 1996 , s. 4-10.
60. ↑ NIST SP 800-160v1, 2016 , s. 205.
61. ↑ Parker, 1998 .
62. ↑ Slade .
63. ↑ Hughes & Cybenko, 2013 .
64. ↑ TIDER .
65. ↑ Teplow .
66. ↑ O-ISM3v2, 2017 .
67. ↑ Gordon, 2015 , s. otte.
68. ↑ Krutz & Vines, 2003 , kapitel 1, s. en.
69. ↑ 1 2 3 Gordon, 2015 , s. 7.
70. ↑ 12 Stewart , 2015 , s. 5.
71. ↑ Gordon, 2015 , s. 7-8.
72. ↑ McCarthy, 2006 , s. 65.
73. ↑ 12 McCulagh & Caelli , 2000 .
74. ↑ 1 2 3 Domarev V.V. Informationsteknologiers sikkerhed. Systemtilgang (utilgængeligt link) . www.security.ukrnet.net _ Hentet 10. maj 2013. Arkiveret fra originalen 10. maj 2013.  (Russisk)   - K .: OOO TID Dia Soft, 2004. - 992 s.
75. ↑ Lapina M. A., Revin A. G., Lapin V. I. Informationsret. M.: UNITY-DANA, Law and Law, 2004.
76. ↑ Informationssikkerhed i moderne databasestyringssystemer . www.compress.ru _ Hentet 13. januar 2019. Arkiveret fra originalen 7. maj 2019. (Russisk)
77. ↑ Organisatorisk sikkerhed i virksomheden: papir og praktisk sikkerhed . infosec.ru . Hentet 13. januar 2019. Arkiveret fra originalen 25. april 2014. (Russisk)
78. ↑ Rusinov S. Sikring af informationssikkerhed for handelsvirksomheder, handelsnetværk og deres infrastruktur: http://www.itsec.ru/articles2/Inf_security/infosec-torg Arkiveksemplar af 4. april 2016 på Wayback Machine
79. ↑ Melnikov V.P., Kleymenov S.A., Petrakov A.M. Informationssikkerhed og informationsbeskyttelse 3. udg. Proc. Tillæg til studerende. højere lærebog etablissementer/V. P. Melnikov, S. A. Kleymenov, A. M. Petrakov.-M.: 2008. — 336 s.
80. ↑ Sikring af informationssikkerhed: http://it-sektor.ru/obespechenie-informatscionnoyi-bezopasnosti.html Arkiveret 7. april 2016 på Wayback Machine .

Litteratur

• Gaius Suetonius Tranquill . Book One // Life of the Tolv Cæsars  = De vita XII caesarvm: [overs. fra  lat. ] / oversættelse af Gasparov M .. - M .  : Forlag "Nauka", 1964. - 374 s. - (Litterære monumenter).
• Singh, Simon. Chifferbogen  : Chiffernes hemmelige historie og deres dechifrering. - M .  : Forlaget "AST", 2009. - 448 s. — ISBN 5-17-038477-7 .
• Izmozik, V. S. "Sorte kabinetter": en historie om russisk gennemlæsning. XVIII - begyndelsen af ​​XX århundrede. - M .  : New Literary Review, 2015. - ISBN 978-5-4448-0392-9 .
• Zhelnikov V. Kommunikationssprog // Kryptografi fra papyrus til computer . - M. : ABF, 1996. - 335 s. - ISBN 5-87484-054-0 .
• Anin, B. Yu . "Marfinskaya Sharazka" // Elektronisk spionage. -M . : Tsentrpoligraf, 2000. - 491, [2] s., [8] l. ill., havn. - (Hemmelig mappe). —10.000 eksemplarer.  —ISBN 5-227-00659-8.
• Nosov V. A. En kort historisk oversigt over udviklingen af ​​kryptografi // Moskva Universitet og udviklingen af ​​kryptografi i Rusland, Moscow State University, 17.-18. oktober 2002: konferencehandlinger. - 2002. - S. 20-32.
• Tokareva N. N. Om kryptografiens historie i Rusland  // Anvendt diskret matematik. - 2012. - December ( Nr. 4 (18) ).
• Alexey Lukatsky. Triaden \"fortrolighed, integritet, tilgængelighed\": hvor kommer den fra? // SecurityLab.ru . - 2012. - 20. september.
• Konceptuelt grundlag for informationssikkerhed i Den Russiske Føderation / Shushkov G. M., Sergeev I. V. // Aktuelle spørgsmål om videnskabelige og videnskabelige og pædagogiske aktiviteter for unge forskere: en samling af videnskabelige artikler fra den III all-russiske korrespondance videnskabelige og praktiske konference (11/23) /2015 - 30/12/2015 ., Moskva) / red. udg. E.A. Pevtsova; redaktion: E.A. Kurenkova og andre. - M .  : IIU MGOU, 2016. - ISBN 978-5-7017-2532-2 .
• Yezhov, M. Yu. En af myterne om krydseren "Magdeburg" // Historiens spørgsmål . - 2007. - Udgave. 2. - S. 152-156. — ISSN 0042-8779 .
• 05.13.19 Metoder og systemer til informationssikkerhed, informationssikkerhed  : [DOC] // Higher Attestation Commission (HAC). — Dato for adgang: 19/07/2018.
• GOST R ISO/IEC 27000-2012: Informationsteknologi (IT). Metoder og midler til at sikre sikkerhed. Informationssikkerhedsstyringssystemer. Generelt overblik og terminologi  : [PDF] // Rosstandart . — Dato for adgang: 20/07/2018.

på fremmedsprog

• Andress, J. Grundlæggende om informationssikkerhed: Forståelse af det grundlæggende i InfoSec i teori og praksis . - Syngress, 2014. - 240 s. — ISBN 9780128008126 .
• Stewart, James Michael. CISSP® : Certified Information Systems Security Professional Study Guide : [ eng. ]  / James Michael Stewart, Mike Chapple, Darril Gibson. — Syvende Udgave. — Canada: John Wiley & Sons, Inc., 2015. — 1023 s. - ISBN 978-1-119-04271-6 .
• Moore, Robert. Cyberkriminalitet: Efterforskning af højteknologisk computerkriminalitet: [ eng. ] . — 2. udg. - Boston : Anderson Publ., 2011. - 318 s. — ISBN 9781437755824 .
• Phishing-angreb og modforanstaltninger  / Ramzan, Zulfikar // Handbook of Information and Communication Security : [ eng. ]  / Peter Stavroulakis, Mark Stamp. - L.  : Springer Science & Business Media, 2010. - 867 s. - ISBN 978-3-642-04117-4 .
• Johnson, John. The Evolution of British Sigint  : 1653-1939: [ eng. ] . - Hendes Majestæts stationære kontor, 1998. - 58 s.
• Soboleva, T. A. Introduktion // Historien om krypteringsvirksomhed i Rusland . - M.  : OLMA-Press, 2002. - 510 s. — ISBN 5224036348 .
• Personale, Gary. Battle on the Seven Seas: German Cruiser Battles, 1914-1918. - Barnsley: Pen & Sword Books, 2011. - 224 s. — ISBN 978-1848841826 .
• Official Secrets Act (1889; Ny 1911; Ændret 1920, 1939, 1989) // Spies, Wiretaps, and Secret Operations: An Encyclopedia of American Espionage / redaktør Hastedt, GP. - Santa Barbara, CA, USA: ABC-CLIO, LLC, 2011. - Vol. 2. - ISBN 978-1-85109-807-1 .
• Sebag Montefiore, Hugh. Enigma: Kampen om koden. — Orion, 2011. — 576 s. — ISBN 9781780221236 .
• Pipkin, Donald L. Informationssikkerhed  : Beskyttelse af den globale virksomhed: [ eng. ] . - N. Y.  : Prentice Hall PTR, 2000. - 364 s. — ISBN 9780130173232 .
• Officiel (ISC)²® guide til CISSP® CBK®: Fjerde udgave: [ eng. ]  / Adam Gordon, redaktør. - Boca Raton, FL, USA : CRC Press, 2015. - 1278 s. - ISBN 978-1-4822-6275-9 .
• Parker, Donn B. Fighting Computer Crime  : A New Framework for Protecting Information: [ eng. ] . - N. Y  .: John Wiley & Sons , 1998. - 528 s. - ISBN 0-471-16378-3 .
• Krutz, Ronald L. The CISM Prep Guide  : Mastering the Five Domains of Information Security Management: [ eng. ]  / Ronald L. Krutz, Russell Dean Vines. - N. Y  .: John Wiley & Sons , 2003. - 433 s. - ISBN 0-471-45598-9 .
• McCarthy, C. Digital Libraries : Security and Preservation Considerations // Handbook of Information Security, Threats, Vulnerabilities, Prevention, Detection, and Management  : [ eng. ]  / Bidgoli, H.. - John Wiley & Sons, 2006. - Vol. 3. - ISBN 9780470051214 .
• Schlienger, Thomas. Informationssikkerhedskultur  : Fra analyse til forandring: [ eng. ]  / Thomas Schlienger, Stephanie Teufel // South African Computer Journal. - Pretoria, Sydafrika, 2003. - Vol. 31.
• Samonas, S. CIA slår tilbage  : Omdefinering af fortrolighed, integritet og tilgængelighed i sikkerhed: [ eng. ]  / Samonas, S., Coss, D. // Journal of Information System Security. - Washington DC, USA: Information Institute Publishing, 2014. - Vol. 10, nr. 3.
• Jacques, RJ De sande omkostninger ved papirbaseret virksomhed  : [ eng. ]  // Fulcrum Blog. - Spatial Networks, Inc., 2016. - 13. januar. — Dato for adgang: 27/06/2018.
• Lille, Christy. Gartner siger, at digitale disruptorer påvirker alle industrier; Digitale KPI'er er afgørende  for måling af succes ] . - Gartner, Inc., 2017. - 2. oktober. — Dato for adgang: 27/06/2018.
• Forni, Amy Ann, van der Meulen, Rob. Gartner-undersøgelse viser, at 42 procent af administrerende direktører er begyndt på  digital forretningstransformation ] . - Gartner, Inc., 2017. - 24. april. — Dato for adgang: 27/06/2018.
• 2017 Global Information Security Workforce Study : Benchmarking Workforce Capacity and Response to Cyber ​​​​Risk - EMEA  : [PDF] : [ eng. ]  // (ISC)² . - Frost & Sullivan, 2017. - Dato for adgang: 27.06.2018.
• Kriminalitet i teknologiens tidsalder : Europols trusselsvurdering af alvorlig og organiseret kriminalitet 2017  : [ eng. ]  : pressemeddelelse. - Europol , 2017. - 9. marts. — Dato for adgang: 27/06/2018.
• Olavsrud, Thor. 5 informationssikkerhedstrusler, der vil dominere 2018  : [ eng. ]  // CIO.com . Hentet: 13. januar 2019. (ubestemt) . - IDG Communications, Inc., 2017. - 20. november. — Dato for adgang: 27/06/2018.
• Zemskaya, E. A. Funktioner af den russiske tale af emigranter fra den fjerde bølge . - Gramota.ru , 2005. - 9. april. — Dato for adgang: 27/06/2018.
• Gordon, Lawrence. The Economics of Information Security Investment: [ eng. ]  / Lawrence Gordon, Martin Loeb // ACM Transactions on Information and System Security. - 2002. - Bd. 5, nr. 4 (november). - doi : 10.1145/581271.581274 .
• Van der Merwe, Alta. Karakteristika og ansvar involveret i et phishing-angreb  : [ eng. ]  / Loock, Marianne, Dabrowski, Marek // WISICT '05 Proceedings of the 4th international symposium on Information and communication technologys. - Cape Town, Sydafrika, 2005. - 3. januar. - S. 249-254. — ISBN 1-59593-169-4 .
• Hoofnagle, Chris Jay. Identitetstyveri: At gøre de kendte ukendte kendte  : [ eng. ]  // Samfundsvidenskabeligt forskningsnetværk. - Berkeley, CA, USA: University of California, 2007. - 13. marts. — Dato for adgang: 07/04/2018.
• Armstrong, Drew. My Three Years in Identity Theft Hell  : [ arch. 19/09/2017 ] : [ eng. ] . — Bloomberg, 2017. — 17. september. — Dato for adgang: 07/04/2018.
• Gorodyansky, David. Privatliv og sikkerhed på internettet: Et fælles ansvar  : [ eng. ]  // wired.com . - 2013. - 10. - Dato for adgang: 07/04/2018.
• Informationssikkerhed er informationsrisikostyring  / Bob Blakley, Ellen McDermott, Dan Geer // Proceedings of the 2001 workshop on New security paradigms. - N. Y  .: ACM, 2001. - S. 97-104. - ISBN 1-58113-457-6 .
• Anderson, JM Hvorfor har vi brug for en ny definition af informationssikkerhed // Computere og sikkerhed. - 2003. - Bd. 22, nr. 4. - S. 308-313. - doi : 10.1016/S0167-4048(03)00407-3 .
• Venter, HS En taksonomi for informationssikkerhedsteknologier / HS Venter, JHP Eloff // Computere og sikkerhed. - 2003. - Bd. 22, nr. 4. - S. 299-307. - doi : 10.1016/S0167-4048(03)00406-1 .
• Kapitel 24 : A History of Internet Security / De Nardis, L. // The History of Information Security : A Comprehensive Handbook / redigeret af de Leeuw, KMM og Bergstra, J.. - Elsevier, 2007. - ISBN 9780080550589 .
• Cherdantseva, Y. Informationssikkerhed og informationssikring. Diskussionen om betydningen, omfanget og målene // Organisatoriske, juridiske og teknologiske dimensioner af informationssystemadministrator / Y. Cherdantseva, J. Hilton. — IGI Global Publishing, 2013.
• Saltzer, H. Saltzer. Beskyttelse af information i computersystemer  : [ eng. ]  / H. Saltzer Saltzer, Michael D. Schroeder // Proceedings of the IEEE. - USA: IEEE , 1975. - Vol. 63, nr. 09 (september). - P. 1278-1308. — ISSN 1558-2256 .
• Hughes, J. Quantitative Metrics and Risk Assessment  : The Three Tenets Model of Cybersecurity: [ eng. ]  / J. Hughes, G. Cybenko // Technology Innovation Management Review. - Ottawa, Canada: Talent First Network (Carleton University), 2013. - August. - S. 15-24. — ISSN 1927-0321 .
• McCulagh, Adrian. Ikke-afvisning i det digitale miljø  : [ eng. ]  / Adrian McCullagh, William Caelli // Technology Innovation Management Review. - Chicago, USA: Første mandag, 2000. - Vol. 8, nr. 8 (august). — ISSN 1396-0466 .
• NIST Interagency eller intern rapport 7298  : Ordliste over nøgleinformationssikkerhedsvilkår: [ eng. ]  / Richard L. Kissel, redaktør, Computer Security Division, Information Technology Laboratory. - Revision 2. - Gaithersburg, MD, USA: National Institute of Standards and Technology , 2013. - 222 s.
• NIST Special Publication 800-14  : Generelt accepterede principper og praksis for sikring af informationsteknologisystemer: [ eng. ] . - Gaithersburg, MD, USA: National Institute of Standards and Technology, 1996. - 61 s.
• NIST Special Publication 800-160  : Systems Security Engineering: Overvejelser for en multidisciplinær tilgang i konstruktionen af ​​pålidelige sikre systemer : ] . - Gaithersburg, MD, USA: National Institute of Standards and Technology, 2016. - Vol. 1. - 260 s.
• OECD-retningslinjer for sikkerheden af ​​informationssystemer og -netværk  : På vej mod en sikkerhedskultur: [ eng. ] . - P.  : OECD Publications, 2002. - 30 s.
• Digital sikkerhedsrisikostyring for økonomisk og social velstand  : OECD-anbefaling og ledsagedokument: [ eng. ] . - P.  : OECD Publishing, 2015. - 74 s.
• Open Group Standard  : Open Information Security Management Maturity Model (O-ISM3), Version 2.0 : [ eng. ] . - Reading, Berkshire, Storbritannien: The Open Group , 2017. - 130 s. — ISBN 1-937218-98-0 .

Links

• Anmeldelse. Midler til beskyttelse af information og forretning 2006 . www.cnews.ru _ Hentet: 13. januar 2019. (Russisk) CNews
• Ordliste med vilkår for sikkerhed og kryptografi (link utilgængeligt) . www.profinfo.ru _ Hentet 13. januar 2019. Arkiveret fra originalen 9. januar 2006.  (Russisk)  European Telecommunication Standards Institute
• Den Russiske Føderations informationssikkerhedsdoktrin . web.archive.org . Dato for adgang: 13. januar 2019. (ubestemt)
• Udkast til koncept for forbedring af den juridiske støtte til informationssikkerhed i Den Russiske Føderation . web.archive.org . Dato for adgang: 13. januar 2019. (ubestemt)
• Den Russiske Føderations føderale lov af 27. juli 2006 N 149-FZ om information, informationsteknologi og informationsbeskyttelse . www.e-nigma.ru _ Dato for adgang: 13. januar 2019. (Russisk)
• Provos, Niels. Sikker browsing - Beskyttelse af webbrugere i 5 år og tæller  : [ eng. ]  // Google Sikkerhedsblog. - 2012. - 19. juni. — Dato for adgang: 07/04/2018.
• Dawes, Adam. Lander endnu et slag mod e-mail-phishing  : [ eng. ]  // Google Sikkerhedsblog. - 2012. - 29. januar. — Dato for adgang: 07/04/2018.
• Dubal, Uttam, Rigot, Stu. Syntetisk ID-tyveri  (utilgængeligt link)  : [ arch. 10/09/2015 ] : [ eng. ]  // Cyber ​​​​Space Times. — Dato for adgang: 07/04/2018.
• Identitetstyveri  : [ engelsk ] ]  // Merriam-Webster.com. — Merriam-Webster . — Dato for adgang: 07/04/2018.
• Ordliste : Informationssikkerhed  : [ eng. ]  // www.isaca.org. — ISACA . — Dato for adgang: 21/08/2018.
• Slade, Rob. CIA TRIAD VERSUS PARKERISK  HEXAD ]  // (ICS)2 Blog. - 2008. - 15. december. — Dato for adgang: 09/07/2018.
• The Three Tenets  : [ eng. ]  // Trusted End Node Security. — D.O.D. _ — Dato for adgang: 08.09.2018.
• Teplow, Lily. Falder dine kunder for disse it-sikkerhedsmyter? [CHART ]: [ Engelsk ] ]  // Continuum Blog. - Boston, MA, USA: Continuum Managed Services, 2016. - 18. november. — Dato for adgang: 08.09.2018.

Ordbøger og encyklopædier	stor kinesisk Stor russer
I bibliografiske kataloger	NKC : ph136652

Informationssikkerhed
Midler til beskyttelse mod uautoriseret adgang	Adgangsrettigheder Obligatorisk adgangskontrol Selektiv adgangskontrol Rollebaseret adgangskontrol
Information	Informationssikkerhed Internetsikkerhed Netværkssikkerhed Informationslækagekanaler Informationsbeskyttelse i lokale netværk Wi-Fi sikkerhed Sikkerhed i WiMAX-netværk Internet of Things Sikkerhed Informationslækagekanaler transmitteret via optiske kommunikationslinjer Databasesikkerhedsanalyse
Beskyttelse	Antivirus program Firewall System til registrering af indtrængen Forebyggelse af lækage
Sårbarheder	Sikker programmering sikkerhedsfejl Software fejl Sårbarhed Udbytte Nul dages sårbarhed Sikkerhedstest Bugtraq OWASP Bug bounty program