Информациска безбедност

Компоненти на Информациската безбедност или квалитети се т.е. Доверливост, Интегритет и Достапност (ДИД). Информатичките системи може да се поделат на три главни компоненти – хардвер, софтвер и врски/комуникатори со цел да ги идентификуваат и применуваат стандардите на индустриска безбедност, како начин за заштита и спречување на три нивоа, физико, лично и организациско. Всушност постапките и стартегиите се спроведуваат со цел да им бидат доближени на луѓето (администратори, корисници и оператори) начините за употреба на алатките за обезбедување безбедност на информациите во рамките на организациите.

Под информациска безбедност се подразбира заштита на информациите и информациските системи од неовластен пристап, искористување, обелоденување, прекин, модификација, проучување, испитување, снимање или уништување.

Поимот информациска безбедност, компјутерска безбедност и информациско осигурување имаат допирни точки и поради тоа честопати погрешно се употребуваат. Областите меѓусебно се поврзани и споделуваат заеднички цели кои се насочени кон заштита на доверливоста, интегритетот и достапноста на инфромациите, меѓутоа меѓу нив постојат значајни разлики.

Разликите се најочиглени во пристапот на одреден предмет, методот кој се користи, и областите на кои се сконцентрирани. Информациската безбедност се занимава со доверливост, интегритетот и достапноста на податоците независно од нивната форма- електронска, печатена или некоја друга форма.

Компјутерската безбедност се фокусира на обезбедување достапност и правилно дејствување на компјутерскиот систем без оглед на зачуваните или обработени податоци во компјутерот.

Владите, војската, корпорациите, финансиските институции, болниците и приватните бизниси имаат натрупано многу доверливи информации за нивните вработени, потрошувачите, производите, истаржувањата и финансиската состојба. Најголен дел од информациите денеска се собираат, обработуваат и зачувуваат на електронски компјутери и се пренесуваат преку мрежите до други компјутери.

Дали треба да се дозволи доверливите информации за деловните клиенти, финансиите, или новиот производ да паднат во рацете на конкуренцијата, таков пропуст во безбедноста може да доведе до пропаѓање на бизнисот, сидски постапки, па дури и банкрот. Заштитата на доверливите информации е потреба во бизнисот, во многу случаи е од етичка и правна важност.

За поединецот, информациската безбедност значително влијае на приватноста, што во различни култури различно се толкува.

Информацискта безбедност како оделна област постепено се развивала низ годините. Постојат повеќе начини да се напредува во оваа област. Понудени се повеќе области за специјализација како што се заштита на мрежи и инфраструктура, заштита на апликации и бази на податоци, испробување на безбедноста, ревизија на информациските системи, планирање на континуитетот на бизнисот и наука за дигитална форензика.

Историја

Со самото појавување на записките, шефовите на држави и влади и воени команданти ја согледале потребата од механизам за заштита на доверливоста на пишаната кореспонденција и изнаоѓање начин за откривање на фалсификати.

Јулиј Цезар бил заслужен за пронаоѓањето на Цезаровата шифра во 50-тите години п.н.е., која била формирана за да се спречи неговите тајна пораки да бидат прочитани, т.е. да паднат во погрешни раце.

Втората светска војна донела многу напредок во сферата на информациската безбедност и го одбележала почетокот на професионалната сфера на информациската безбедност.

На крајот од 20 век и почетокот од 21 век бил забележан значителен напредок во областа на телекомуникациите, компјутерскиот хардвер и софтвер, и кодирањето на податоци. Достапноста на помала, помоќна и помалку скапа компјутерска опрема ја става електронска обработка на податоци на дофат на малите бизниси и на приватните корисници. Овие компјутери многу брзо станаа меѓусебно поврзани преку мрежа генерички наречена Интернет или World Wide Web ( Светски распространета мрежа).

Брзиот раст и широката распространетост на електронска обработка на податоци и електронски бизнис спроведена преку Интернет, заедно со бројните појавувања на меѓународниот тероризам, ја наметнаале потребата од подобри методи за заштита на компјутерите и информациите што ги чуваат, обработуваат и пренесуваат. Академските дисциплини компјутерската безбедност, безбедноста на информациите и осигурување на информациите се појавиле заедно со голем број професионални организации - сите споделуваале заедничките цели за обезбедување на безбедноста и сигурноста на информациските системи.

Основни принципи

Клучни концепти

Веќе дваесетина години, информациската безбедност ги одржува доверливоста, интегритетот и достапноста (познати како тријада скатено ДИД) како основните принципи на информациската безбедност.

Постојано се дебатира околу проширувањето дали да се додаде нова вредност кон ова класично трио. Понекогаш се предлагаат други принципи, како што е на пример одговорноста, да се додада, меѓутоа истакнато е дека тематики како што е неотповикливоста не се вклопуваат во рамките на три основни концепти. Со самото тоа што регулирањето на компјутерските системи е во пораст (особено во западните земји), законитоста станува основна грижа за практичните безбедносни инсталации.

Во 2002 година, Дон Паркер предложи алтернативен модел за класичната ДИД тријада што тој го нарече шест атомски елементи на информациите. Елементите се доверливост, поседување, интегритет, оригиналност, достапноста и корисност. Основаноста на Паркеровата хексада е предмет на дебата меѓу професионалците за безбедност.

Доверливост

Доверливоста е термин кој поконкретно значи да се спречи објавување на информации на неовластени поединци или системи. На пример, за една трансакција со кредитна картичка на интернет потребно е да се внесе бројот на кредитната картичка за да бидат средствата пренесени од купувачот до трговец, а потоа од трговецот до мрежата која ја обработува трансакцијата. Системот се обидува да ја одржи доверливоста со шифрирање на бројот на картичката за време на преносот, со ограничување на места каде што може да се појави (во базите на податоци, податотеки, печатени на фискални сметки, и така натаму), и со ограничување на пристапот до местата каде што се чуваат.Ако неовластен субјект го добива бројот на картичката на било кој начин, настанало рушење на доверливоста.

Нарушување на доверливоста може да се појави во многу форми. Дозволувајќи некому да ви погледне преку рамо додека работите со доверливи информации на вашиот компјутер може да доведе до рушење на доверливоста. Доколку лаптоп компјутер кој содржи доверливи информации за вработените на компанијата е украден или продаден, тоа би можело да резултира со повреда на доверливоста. Давање доверливите информации преку телефон ја руши доверливоста ако повикувачот не е овластен да ја поседува информацијата.

Доверливоста е потребна (но не е доволна) за одржување на приватноста на луѓето чии лични податоци се содржани во системот. [Се бара извор]

Интегритет

Во областа на информациската безбедност, под интегритет се подразбира дека податоците не можат да се менуваат без тоа да биде забележано. Ова не е истото со референцијален интегритет во базите на податоци, иако на тоа може да се гледа како на специфичен случај на доследност како што се подразбира во класичните трансакциски процеси. Интегритет може да е нарушен кога пораката е изменета додека трае преносот. Системите за информациска безбедност обично обезбедуваат интегритет на пораката што е во прилог на зачувување на доверливост на податоците.

Достапност

За да може било кој систем за информациска безбедност да ја оствари својата цел, информација мора да биде на располагање кога е тоа потребно. Ова значи дека компјутерски системи кои се користат за чување и обработка на информациите, контролите врз безбедноста кои се користат за да ги заштитат, и протокот на информации кој се користи за пристап треба да функционираат правилно.Системите кои нудат висококвалитетна достапност имаат за цел да бидат на располагање без прекин, да го спречат прекинот на услугата поради прекини во напојувањето, хардверски грешки, и надградби на системот. Обезбедување на достапноста, исто така, вклучува спречување на напад врз услугата.

Автентичност

Во пресметките, електронскиот бизнис и информациската безбедност неопходна е да се потврди веродостојноста на податоците, трансакциите, комуникациите и документите (физички или електронски). Исто така важно е за да се провери дека двете вклучени страни се тие кои тврдат дека тие се, односно да се потврди нивната автентичност.

Неотповикливост

Според законот, под поимот неотповикливост се подразбира намерата на поединецот да ги исполнат своите обврски кон договорот. Тоа исто така значи дека едната страна кој ја врши трансакцијата не може да го одрече добивањето на трансакцијата, ниту пак другата страна може да негира дека ја испратила трансакција.

Електронската трговија ја користи технологијата како што се дигитални потписи и енкрипција за да се утврди автентичноста и неотповикливоста.

Управување со ризик

Сеопфатен пристап кон темата управување со ризик е надвор од опсегот на овој текст. Сепак, ќе бидат приложени корисни дефиницијата за управување со ризик, како и основна терминологија и најчесто користен пристап на управување со ризик.

Ревидиран прирачникот од 2006 година ја дава следнава дефиниција за управување со ризик:Управување со ризикот е процес на идентификување на слабостите и заканите кои се однесуваат изворите на информации користени од страна на определена организација во остварувањето на деловните цели и одлучување кои контрамерки, ако има такви, да се преземат за намалување на ризикот на прифатливо ниво, врз основа на вредноста на информацискиот ресурс за организацијата.

Постојат две нејасностии во дефиницијата. Прво, процесот на управување со ризик е постојан итерактивен процес кој трае неограничено. Деловната атмосфера постојано се менува и нови закани и слабости се појавуваат секој ден. Второ,со изборот на контрамерки за контрола на компјутерите кои се користи за управување со ризици мора да одржуваат рамнотежа помеѓу продуктивноста, економичноста, делотворност на контрамерките и вредноста на заштитените информациски средства.

Ризик е веројатноста дека ќе се случи нешто непосакувано што предизвикува штета на информациското средство (или загуба на средства). Слабоста значи можност да се загрози или да се предизвика штета на информациското средство. Закана е се (човечки или друг фактор), кој има потенцијал да предизвика штети.

Веројатноста дека заканата ќе ја злоупотреби слабоста да предизвика штета создава ризик. Кога заканата ја искористува слабоста за да напраи штета, тоа има влијание. Според смислата на информациската безбедност, ова влијание доведува до загуба на достапноста, интегритетот и доверливоста, а веројатно и други загуби (изгубени приходи, губење на животот, губење на недвижен имот). Треба да се истакне дека не е можно да се идентификуваат сите ризици, ниту пак е можно да се елиминира сите ризици. Ризикот кој не може да се предвиден се ризик кој останува неанализиран.

Процена на ризикот се врши од страна на тим од луѓе кои имаат познавања на одредени области на бизнисот. Составот на тимот може да варира според различните аспекти на бизнисот кои се проценуваат. Проценката може да се заснова на субјективна квалитативна анализа врз основа на мислење создадени според инфомираноста, или пак на историски податоци кои се достапни,во тој случај анализатата се потпира на квантитативно анализирање.

Истражувањето покажа дека најслаба точка во повеќето информациски системи е човечки фактор (корисник, операторот, дизајнер) Кодот ISO / IEC 27002:2005 за управување со информациската безбедност препорачува следново да се испитува за време на проценката на ризикот:

безбедносна политика, организирање на информациската безбедност, управување со средства, безбедност на човечките ресурси,