Виды угроз информационным системам

Угрозы информационной системе можно рассматривать с позиций их воздействия на ее характеристики, такие, в частности, как готовность системы, ее надежность и конфиденциальность.

Угрозы могут также классифицироваться и по природе возникновения — стихийные бедствия, несчастные случаи (чрезвычайные происшествия), различного рода ошибки или злоупотребления, сбои и отказы оборудования и др.

В общем плане к угрозам безопасности относятся:

• * похищения и угрозы похищения сотрудников, персонала, членов их семей и близких родственников;
• * убийства, сопровождаемые насилием, издевательствами и пытками;
• * психологический террор, угрозы, запугивание, шантаж, вымогательство;
• * грабежи с целью завладения денежными средствами, ценностями и документами. Преступные посягательства в отношении помещений (в том числе и жилых), зданий и персонала проявляются в виде:
• * взрывов;
• * обстрелов из огнестрельного оружия, сигнальных ракетниц, ручных гранатометов;
• * минирования, в том числе с применением дистанционного управления;
• * поджогов, бросков канистр и иных емкостей с легковоспламеняющейся жидкостью;
• * нападения, вторжения, захваты, пикетирования, блокирования;
• * актов вандализма, повреждения входных дверей, решеток, ограждений, витрин, мебели, а также транспортных средств, личных и служебных. Цель подобных акций:
• * откровенный террор в отношении коммерческого предприятия;
• * нанесение серьезного морального и материального ущерба;
• * срыв на длительное время нормального функционирования предприятия;
• * вымогательство значительных сумм денег или каких-либо льгот (кредиты, отсрочка платежей и т. п.) перед лицом террористической угрозы.

К факторам, приводящим к информационным потерям и, как следствие, к различным видам убытков или ущерба, можно отнести следующие причины и действия.

• 1. Материальный ущерб, связанный с несчастными случаями, вызывает частичный или полный вывод из строя оборудования или информационного ресурса. Причинами этого могут быть:
  • * пожары, взрывы, аварии;
  • * удары, столкновения, падения;
  • * воздействия твердых, газообразных, жидких или смешанных химических или физических сред;
  • * поломка элементов машин различного характера: механического, электрического, электронного и электромагнитного;
  • * последствия природных явлений (наводнения, бури, молнии, град, оползни, землетрясения и т. д.).
• 2. Кражу и преднамеренную порчу материальных средств. Воруют главным образом небольшие по габаритам аппаратные средства (мониторы, клавиатуру, принтеры, модемы, кабели и оргтехнику), информационные носители (диски, дискеты, ленты, магнитные карты и др.) и различное другое имущество и ЗИП (документация, комплектующие и др.). Посягательства и вредительские действия проявляются в самых различных формах: явные (например, оставленная отвертка внутри печатающего устройства, в корпусе вентилятора процессора) или скрытые (например, вредные химические вещества в помещениях и аппаратуре).
• 3. Аварии и выход из строя аппаратуры, программ и баз данных. Остановка или нарушение деятельности информационных центров не такие уж редкие события, а продолжительность этих состояний в основном небольшая. Но иногда между тем прямые и косвенные последствия этих действий могут быть весьма значительными. Последствия этих действий к тому же не могут быть заранее предусмотрены и оценены.
• 4. Убытки, связанные с ошибками накопления, хранения, передачи и использования информации. Эти ошибки связаны с человеческим фактором, будь-то при использовании традиционных носителей информации (дискеты, ленты) или при диалоговом обмене в режиме удаленного доступа.
• 5. Ошибки эксплуатации. Эти ошибки могут приобретать различные формы: нарушение защиты, переполнение файлов, ошибки языка управления данными, ошибки при подготовке и вводе информации, ошибки операционной системы, ошибки программы, аппаратные ошибки, ошибочное толкование инструкций, пропуск операций и т. д. Диапазон ошибок людей значителен. Иногда трудно установить различие между ошибкой, небрежностью, утомлением, непрофессионализмом и злоупотреблением.
• 6. Концептуальные ошибки и ошибки внедрения. Концептуальные ошибки могут иметь драматические последствия в процессе эксплуатации информационной системы. Ошибки реализации бывают в основном менее опасными и достаточно легко устранимыми.
• 7. Убытки от злонамеренных действий в нематериальной сфере. Мошенничество и хищение информационных ресурсов — это одна из форм преступности, которая в настоящее время является довольно безопасной и может принести больший доход, чем прямое ограбление банка. Между тем, учитывая сложность информационных систем и их слабые стороны, этот вид действий считается достаточно легко реализуемым.
• 8. Болтливость и разглашение. Эти действия, последствия которых не поддаются учету, относятся к числу трудноконтролируемых и могут находиться в рамках от простого, наивного хвастовства до промышленного шпионажа в коммерческой деятельности — таков их диапазон. 9. Убытки социального характера. Речь идет об уходе или увольнении сотрудников, забастовках и других действиях персонала, приводящих к производственным потерям и неукомплектованности рабочих мест. Опасность этих действий существует почти всегда. Особо опасный вид угроз представляет промышленный шпионаж как форма недобросовестной конкуренции. Промышленный шпионаж — это наносящие владельцу коммерческой тайны ущерб незаконный сбор, присвоение и передача сведений, составляющих коммерческую тайну, а также ее носителей лицом, неуполномоченным на это ее владельцем.