§ 45. Информационная безопасность и защита интересов субъектов информационных отношений

Определения и обозначения

Информационная безопасность — состояние защищённости информационной среды и интересов личности, общества и государства от информационных угроз. Проще говоря, она помогает не допустить утраты, искажения или неправомерного использования сведений. Это понятие нужно, чтобы учитывать не только безопасность устройств, но и права людей, организаций и страны.

Субъект информационных отношений — участник, который создаёт, получает, использует, передаёт, хранит или защищает информацию. Например, ученик, школа и государственный орган могут обмениваться сведениями и иметь разные права на них. Понимание того, кто участвует в отношениях, помогает определить, чьи интересы надо защищать и кто отвечает за действия с информацией.

Угроза информационной безопасности — возможное событие или действие, способное нарушить права субъектов или нанести вред информации. Угроза ещё не означает, что вред уже наступил: подозрительное письмо может быть опасным, даже если пользователь не перешёл по ссылке. Это различие нужно, чтобы заранее оценивать риск и принимать меры, не смешивая возможность события с его последствиями.

Защита информации — совокупность правовых, организационных и технических мер по предотвращению угроз и уменьшению их последствий. К ним относятся, например, правила доступа, обучение пользователей и шифрование данных. Такое определение помогает увидеть, что безопасность создаётся не одной программой, а согласованной работой людей, правил и технологий.

Как это устроено

Информационные отношения затрагивают личность, общество и государство, потому что сведения могут быть одновременно личными, общественно значимыми и необходимыми для управления. Человеку важно сохранить тайну частной жизни, обществу — получать достоверные сведения, государству — поддерживать работу служб и защищать ресурсы. Если учитывать интерес только одной стороны, защита может оказаться неполной или неоправданно ограничить доступ других. Поэтому меры согласуют с правами всех участников и законом.

Требования безопасности выводят из трёх свойств информации. Конфиденциальность означает, что сведения доступны только тем, кому это разрешено; целостность — что данные остаются точными и не меняются без разрешения; доступность — что законный пользователь может получить их, когда они нужны. Эти свойства связаны: например, строгий запрет доступа может сохранить секретность, но помешать работе тех, кому данные необходимы. Поэтому защита должна поддерживать все три свойства, а не только скрывать информацию.

Угрозы возникают по разным причинам, поэтому их делят на природные, технические, случайные и преднамеренные. Пожар или затопление могут повредить носители независимо от действий пользователей, а отказ оборудования — сделать данные временно недоступными. Ошибочное удаление файла происходит случайно, тогда как кража пароля обычно является намеренным действием. Различение источников помогает понять, нужны ли резервные копии, техническое обслуживание, обучение или меры против злоумышленника.

Меру защиты выбирают не по принципу «чем больше, тем лучше», а с учётом источника угрозы, ценности информации и возможного ущерба. Для общедоступного файла может быть достаточно резервного копирования, а для персональных данных понадобятся ограничение доступа и шифрование. Если вероятность угрозы и последствия велики, систему готовят к быстрому реагированию и восстановлению. Такой подход позволяет разумно расходовать ресурсы и не создавать чрезмерных препятствий для работы.

Защита включает законодательные ограничения, организационные правила и технические средства, потому что каждый вид мер решает свою задачу. Закон определяет права и ответственность, правила устанавливают порядок работы, а программы и оборудование помогают контролировать доступ и обнаруживать атаки. Одних технических средств недостаточно: человек может сам сообщить пароль или нарушить инструкцию. При этом закрывать всю информацию нельзя — ограничения должны иметь правовое основание и сочетаться с законным правом граждан на получение открытых сведений.

Субъекты информационных отношений, их интересы и меры защиты

Сначала определите субъекта и его интерес, а затем сопоставьте его с возможной угрозой. Последний столбец показывает примеры мер, которые помогают снизить именно этот риск. Одна мера не подходит всем: защита личного аккаунта и критически важной государственной системы требует разного масштаба.

Разбор задач

Подозрительная ссылка

Пользователь получил письмо со ссылкой на страницу, внешне похожую на сайт банка. Нужно определить опасность и выбрать действие. Внешнее сходство страницы не доказывает, что она принадлежит банку: злоумышленники могут копировать оформление, чтобы получить данные для входа.

1. Проверяем, кто отправил письмо, и не доверяем ссылке только из-за знакомого логотипа.
2. Рассматриваем переход как возможную фишинговую атаку — преднамеренную попытку выманить пароль или банковские данные. Здесь под угрозой прежде всего конфиденциальность.
3. Не вводим данные по ссылке; при необходимости открываем сайт банка через известный адрес или официальное приложение и сообщаем о письме банку.

Ответ: письмо может быть фишинговым, поэтому переходить по подозрительной ссылке и вводить данные нельзя. Проверять информацию следует через независимый официальный канал.

Потерянная флешка

Сотрудник школы потерял флеш-накопитель с таблицей персональных данных учащихся. Требуется указать возможный ущерб и меры защиты. Риск зависит от того, защищены ли данные и может ли посторонний прочитать содержимое накопителя.

1. Определяем, какие сведения хранились на носителе и кто мог получить к нему доступ. Если данные не зашифрованы, посторонний может прочитать или распространить их.
2. Называем возможный ущерб: разглашение персональных данных, нарушение права на частную жизнь и связанные с этим правовые последствия.
3. Заранее применяем шифрование, ограничиваем круг сотрудников с доступом и храним резервную копию в защищённом месте. После потери нужно сразу сообщить ответственным за защиту данных и действовать по установленному порядку.

Ответ: основная угроза — разглашение персональных данных. Её снижают шифрование и ограничение доступа, а резервное хранение помогает не потерять нужную информацию.

Файлы зашифрованы вредоносной программой

В школьной сети вредоносная программа зашифровала файлы, и сотрудники потеряли доступ к документам. Нужно определить нарушенные свойства информации и составить план действий. Шифрование злоумышленником не означает, что документы обязательно уничтожены, но пользоваться ими без восстановления уже нельзя.

1. Фиксируем нарушение доступности: сотрудники не могут открыть нужные файлы. Также проверяем целостность — не были ли данные изменены, повреждены или подменены.
2. Изолируем заражённые устройства от сети, чтобы ограничить распространение программы. Не подключаем к ним резервные носители и сообщаем ответственному за ИТ-безопасность.
3. После устранения заражения проверяем резервную копию и восстанавливаем документы из чистого источника. Затем обновляем защиту, ищем причину заражения и меняем затронутые пароли, если они могли быть раскрыты.

Ответ: нарушена доступность, а целостность нужно проверить. Устройства следует изолировать, причину заражения устранить, а файлы восстановить из проверенной резервной копии.

Типичные ошибки

Сводить информационную безопасность к защите компьютера от вирусов. Так думают, потому что вирусы заметны и часто становятся причиной сбоев, но безопасность включает также защиту прав и интересов субъектов. Проверьте себя: учтены ли конфиденциальность, достоверность и доступ к данным, а не только работа устройства?

Путать угрозу с уже наступившим ущербом. Угроза — это возможность вредного события, а ущерб — его последствие; смешение возникает, когда опасность и результат называют одним словом. Для проверки сформулируйте отдельно, что может произойти, и что уже произошло. Например, фишинговое письмо — угроза, а похищенный пароль — возможный ущерб.

Полагаться только на антивирус или другое техническое средство. Программы не исправляют ошибки пользователей, не устанавливают законные правила доступа и не всегда позволяют восстановить удалённые файлы. Ошибка возникает из-за надежды на автоматическую защиту. Проверьте, есть ли кроме техники правила, обучение, резервные копии и порядок действий при инциденте.

Считать любую информацию закрытой. Это неверно, потому что у граждан есть законное право получать открытую и общественно значимую информацию. Иногда желание исключить риск приводит к чрезмерному запрету доступа. Проверьте себя: есть ли конкретное законное основание для ограничения и не скрываются ли сведения, которые должны быть доступны?

Связь с другими темами

Для понимания темы нужны знания о видах информации, информационных процессах, компьютерных сетях, учётных записях и работе с файлами: они помогают распознавать, где и как возникают риски. Далее эти знания пригодятся при изучении защиты персональных данных, криптографии, сетей и безопасного поведения в интернете. С обществознанием и правом тему связывают права и обязанности граждан, а также ответственность за незаконный доступ и распространение информации.

Что запомнить

• Информационная безопасность защищает интересы личности, общества и государства.
• Субъектами информационных отношений могут быть граждане, организации и государство.
• Основные свойства защищаемой информации — конфиденциальность, целостность и доступность.
• Угрозы бывают природными, техническими, случайными и преднамеренными.
• Защита информации включает правовые, организационные и технические меры.
• Меры защиты выбирают с учётом ценности информации и характера угрозы.
• Право на защиту информации должно сочетаться с законным правом на её получение.