§ 45. Информационная безопасность и защита интересов субъектов информационных отношений

Определения и обозначения

Информационная безопасность — состояние защищённости интересов личности, общества и государства в информационной сфере. Иными словами, информация и связанные с ней права не должны подвергаться недопустимому риску. Это понятие помогает оценивать защиту не только устройств, но и людей, которым важны сведения.

Субъект информационных отношений — участник, который создаёт, получает, хранит, передаёт или использует информацию. Им может быть человек, организация или государство, причём один участник способен выполнять сразу несколько ролей. Понятие нужно, чтобы определить, чьи права и интересы затронуты при работе с данными.

Угроза информационной безопасности — возможное событие или действие, способное нарушить защищённость информационных интересов. Например, угрозой может быть попытка похитить пароль или отказ диска, из-за которого файл станет недоступен. Это понятие позволяет заранее подумать о том, что может пойти не так.

Защита информации — меры, направленные на предотвращение угроз и уменьшение их последствий. К ним относятся правила доступа, обучение пользователей, технические средства и резервные копии. Они нужны, чтобы снизить вероятность опасного события и ограничить вред, если оно всё же произойдёт.

Как это устроено

Информационная безопасность касается не только компьютеров и сетей, потому что за каждым устройством стоят чьи-то интересы. Утечка сведений может навредить человеку, сбой в системе — остановить работу организации, а нарушение защиты государственных информационных ресурсов — затронуть общество. Поэтому оценивают не только исправность техники, но и то, как событие повлияет на участников.

Субъекты зависят от информации по-разному: человеку нужны личные данные и доступ к услугам, организации — документы и сведения о клиентах, государству — данные для выполнения общественных задач. Их интересы могут совпадать, например все стороны заинтересованы в сохранности достоверных сведений. Но интересы способны и конфликтовать: организации нужно обрабатывать данные клиента, а сам клиент заинтересован в том, чтобы доступ к ним был ограничен и законен.

Угрозы возникают по разным причинам, поэтому не всякая потеря данных связана со злоумышленником. Человек может ошибиться или намеренно раскрыть сведения, оборудование — выйти из строя, а пожар или затопление — повредить носители. Последствия зависят от того, что именно затронуто: информация может быть раскрыта посторонним, изменена, уничтожена или стать недоступной владельцу.

Защиту выбирают с учётом ценности информации, вероятности угрозы и возможного ущерба. Для несекретного учебного файла и базы данных клиентов нужны разные уровни мер: потеря во втором случае может привести к серьёзным последствиям для многих людей. Поэтому сначала определяют, какие сведения и чьи интересы нужно защитить, затем рассматривают вероятные угрозы и подбирают подходящие действия.

Правовые, организационные и технические меры работают вместе, поскольку каждая решает свою часть задачи. Закон устанавливает права и обязанности, внутренние правила определяют, кто и как обращается с данными, а технические средства ограничивают доступ или помогают обнаружить атаку. Если использовать только одну группу мер, остаются слабые места: например, пароль не поможет, если сотрудник без правил работы сам передаст сведения постороннему.

Субъекты информационных отношений: интересы, угрозы и меры защиты

Сравнивайте строки по одному субъекту: сначала определите, какие интересы важны именно для него, затем соотнесите их с угрозами и мерами. Приведённые примеры не исчерпывают все возможные ситуации, а конкретный способ защиты зависит от вида данных и возможного ущерба. Часто интересы нескольких субъектов затронуты одновременно.

Разбор задач

Задача 1. Пользователь получил письмо со ссылкой на поддельную страницу банка. Нужно определить угрозу, затронутый интерес и действие для снижения риска. Поддельная страница может имитировать настоящую, чтобы человек сам ввёл пароль или данные карты. Рассуждаем от возможного действия к его последствиям.

1. Определяем угрозу: это фишинг, то есть обманная попытка получить конфиденциальные данные под видом надёжной организации.
2. Уточняем, чьи интересы затронуты: пользователя, поскольку могут пострадать его личные данные и денежные средства.
3. Выбираем действие: не переходить по ссылке и не вводить данные, а открыть сайт банка через проверенный адрес или официальное приложение.

Ответ. Угроза — фишинг, а под риском находятся данные и деньги пользователя. Риск снизится, если не использовать ссылку из письма и проверить сообщение через официальный канал банка. Если данные уже введены, следует незамедлительно связаться с банком и сменить пароль.

Задача 2. В организации из-за сбоя перестали быть доступны рабочие файлы. Нужно указать затронутые интересы и меры, уменьшающие последствия. Здесь не обязательно есть злоумышленник: причиной стала техническая неисправность. Важно отличить саму угрозу от того, какой вред она причинила.

1. Называем угрозу: технический сбой привёл к недоступности информации.
2. Определяем затронутые интересы: организация не может использовать документы и выполнять часть рабочих задач; последствия могут затронуть также сотрудников и клиентов.
3. Подбираем меры: регулярные резервные копии позволяют восстановить файлы, а план восстановления и исправное запасное оборудование помогают быстрее вернуть работу.

Ответ. Затронуты интересы организации, связанные с доступом к рабочей информации и продолжением деятельности. Резервное копирование уменьшает риск потери файлов, а проверка копий и порядок восстановления сокращают простой. Сам сбой — угроза, а потеря времени и остановка работы — возможный ущерб.

Задача 3. Сотрудник передал постороннему сведения о клиентах, после чего эти данные появились в открытом доступе. Нужно назвать субъектов, интересы, угрозу и меры защиты. Проследим, кто владел сведениями, кто их раскрыл и кому причинён вред. Для надёжного решения одной технической меры недостаточно.

1. Определяем субъектов: организация обрабатывала сведения, сотрудник имел к ним доступ, клиенты являются людьми, чьи данные раскрыты; интересы могут затрагивать и государство, если нарушены установленные требования.
2. Называем угрозу и последствия: неправомерная передача информации привела к её утечке, то есть доступу посторонних; клиенты теряют контроль над личными сведениями, а организация рискует понести правовую и репутационную ответственность.
3. Подбираем меры: правовые правила закрепляют обязанности и ответственность, организационные меры ограничивают круг допущенных сотрудников и предусматривают обучение, технические средства ограничивают копирование и помогают обнаружить необычный доступ.

Ответ. Основные затронутые субъекты — организация и клиенты; угроза состоит в неправомерном разглашении, а ущерб — в раскрытии данных и возможных последствиях для сторон. Нужен комплекс мер: закрепить правила и ответственность, минимизировать доступ сотрудников и применять технический контроль. После утечки также следует ограничить дальнейшее распространение и действовать по установленному плану реагирования.

Типичные ошибки

Считать информационную безопасность только защитой компьютера — значит не замечать права и интересы людей, организаций и государства. Так думают, потому что технические средства заметнее, чем правила или возможный вред для владельцев данных. Проверьте себя вопросом: кто пострадает, если информация будет утрачена или раскрыта? Если ответ касается только устройства, оценка неполна.

Полагать, что угрозу создают только злоумышленники, — ошибка: причиной потери данных могут стать невнимательность, сбой или природное событие. Злоумышленные действия легко представить как опасность, а случайные причины часто упускают. Проверьте, учли ли вы ошибки пользователей, отказ оборудования и воздействие окружающей среды.

Смешивать угрозу и ущерб — значит путать возможную причину с её последствиями. Например, отказ диска — угроза, а недоступность файлов и простой работы — возможный ущерб; их путают, когда описывают ситуацию одним общим словом «проблема». Чтобы проверить себя, спросите: событие ещё только может произойти или его последствия уже наступили?

Рассчитывать только на технические средства недостаточно: антивирус или пароль не заменит правила, ответственность и подготовку людей. Эту ошибку допускают, потому что программа кажется готовым решением, тогда как организационные меры требуют согласованных действий. Проверьте себя: есть ли порядок доступа, понятные обязанности и план восстановления, если техника откажет?

Связь с другими темами

Для понимания темы нужны знания о том, что такое информация, информационные ресурсы и участники информационных процессов: они помогают определить, что именно защищают и кто работает со сведениями. Связь с правом проявляется в необходимости учитывать права субъектов и обязанности тех, кто обрабатывает информацию. Эти знания пригодятся при изучении сетевых технологий, персональных данных, криптографии и правил безопасной работы в интернете. Они помогают не только распознавать угрозы, но и выбирать меры защиты под конкретную ситуацию.

Что запомнить

• Информационная безопасность связана с защищённостью интересов субъектов информационных отношений.
• К субъектам относятся личность, организации и государство.
• Угрозы могут быть связаны с действиями людей, техническими сбоями и природными обстоятельствами.
• Угроза — возможная причина вреда, а ущерб — последствие её реализации.
• Защита информации включает правовые, организационные и технические меры.
• Меры защиты выбирают с учётом угрозы и возможного ущерба.