Система безопасности в Бразилии

                  Міністерство освіти і науки України

         Львівський  національний університет імені  Івана Франка

                    Факультет міжнародних відносин 
 
 
 
 
 
 
 
 

                    РЕФЕРАТ 

                                  на тему: 

                  «Система безпеки Бразилії» 
 
 
 
 
 
 

                                              Виконала:

                                              Студентка групи  МВР–11

                                              Святко Євгенія 
 
 
 
 
 
 
 
 

                         Львів – 2011

                 Зміст

1. Поняття про інформаційну безпеку
2. Хакери влаштували блекаут в Бразилії
3. Інформаційна безпека в Бразилії моделювання і прогнозування аутсорсинг рішень
4. Система інформаційної безпеки   від злочинних посягань в Бразилії бразильська теорія «Захист інформації»
5. Список літератури та використаних джерел

Поняття про інформаційну безпеку

Інформаційна безпека (англ. Information Security) — стан інформації, в якому забезпечується збереження визначених політикою безпеки властивостей інформації.

Інформаційна  безпека і її завдання.

Інформаційна  безпека має на увазі під собою  забезпечення захисту інформації і  інфраструктури, що здійснює її підтримку  від будь-якого випадкового або  ж зловмисного втручання, в результаті якого може бути нанесений утрата інформації в цілому, її безпосереднім  власникам і інфраструктурі, що підтримує  її зберігання і існування. Інформаційна безпека виконує завдання, пов'язані  з прогнозуванням і запобіганням можливим діям подібного роду, а  також зводить до мінімуму можливий збиток.

Інформаційна  безпека і можливі  загрози її забезпеченню.

Дії, які  так або інакше загрожують збереженню, що допускають нанесення збитків  інформаційній безпеці підрозділяються  на певні категорії.

Дії, які  здійснюють користувачі, авторизовані в системі. Ця категорія включає:

• зловмисні дії користувача з метою крадіжки або повного або часткового знищення даних, що є на сервері або робочій станції компанії;
• пошкодження наявних даних як результат прояву необережності, халатності у діях користувача.

     "Електронне" втручання - дії хакерів. До  категорії хакерів прийнято відносити  людей, активно задіяних в здійсненні  комп'ютерних злочинів, як на професійному  рівні, так і на рівні простої  людської цікавості. До подібних  способів дії відносять: 

• незаконе проникнення в захищені комп'ютерні мережі;
• здійснення DOS-атак.

Несанкціоноване проникнення ззовні в захищену мережу тієї або іншої компанії може здійснюватися  з метою нанесення збитку (знищення, підміна наявних даних), крадіжка інформації, що відноситься до розряду  конфіденційною з подальшим її незаконним використанням, розпорядження мережевою  інфраструктурою компанії як методом  для здійснення атак на інші мережеві вузли, крадіжка грошових коштів з рахунків компанії або окремих користувачів і ін.

Атаки категорії DOS ("Denial of Service") здійснюються ззовні і направлені на мережеві вузли  тієї або іншої компанії, які відповідають за її безпечне, ефективне і стабільне  функціонування (поштовий, файловий сервер). Зловмисниками організовується  масова відправка яких-небудь даних  на вибрані вузли, що викликає їх перевантаження, тим самим, виводячи з працездатного  стану на деякий час. Подібні атаки  можуть обернутися для постраждалої компанії різними порушеннями в  здійсненні безперервних бізнес-процесів, втратою клієнтів, а також втратою  репутації.

Комп’ютерні віруси.

Комп’ютерні віруси, так само, як і деякі інші шкідливі програми відносяться до окремої  категорії способів електронної  дії з подальшим нанесенням збитку. Дані засоби дії є реальною загрозою для ведення сучасного бізнесу, що має на увазі широке використання комп'ютерних мереж, електронної пошти і Інтернету в цілому. Так, "вдале" проникнення шкідливої програми (вірусу) в корпоративні мережеві вузли тягне за собою не тільки виведенням їх із стану стабільного функціонування, але і велику втрату часу, втрату наявних даних, зокрема не виключена можливість крадіжки конфіденційної інформації і прямих розкрадань грошових коштів з рахунків. Програма-вірус, яка проникла і залишилася непоміченою в корпоративній мережі дає можливість здійснення зловмисниками повного або ж часткового контролю над всією діяльністю компанії, що ведеться в електронному вигляді.

Спам.

Якщо  ще кілька років тому спам був всього лише незначним по масштабах, дратівливим  чинником, то в даний час технології спаму представляють достатньо  серйозну загрозу для забезпечення інформаційної безпеки:

• так, основним каналом для ефективного і швидкого розповсюдження спаму і інших шкідливих програм в даний час стала електронна пошта;
• на перегляд спаму йде достатньо велика кількість часу, а подальше видалення численних повідомлень може викликати відчуття дискомфорту співробітників на психологічному рівні;
• спам може виступати одним з основних методів реалізації різних шахрайських схем, жертвами яких можуть ставати як приватні, так і юридичні особи;
• великий ризик видалення потрібної кореспонденції разом із спамом, що може привести до різного роду неприємним наслідкам; при цьому така небезпека зростає, якщо удаватися до використання недосконалих поштових фільтрів для виявлення і відсіювання спаму.

     "Природні" загрози.

• категорію "природних" загроз відносять різні зовнішні чинники. Так, причиною втрати інформаційної безпеки може виступити крадіжка інформаційних носіїв, форс-мажорні обставини, неправильний спосіб зберігання інформації і ін.

                      Хакери  влаштували блекаут  в Бразилії.

     Масові  перебої з енергопостачанням  в Бразилії, як з'ясувалося, були справою  рук хакерів, які маніпулювали системами  управління. Мова йде про випадки відключення електрики, в тому числі про дводенному блекаут 26-27 вересня 2007 року, коли без світла залишилися понад 3 млн жителів у декількох десятках міст.  
Кілька годин тому на каналі CBS показали передачу про цей унікальний випадок кібертероризму і про можливе повторення таких атак. Американці дуже бояться, що скоро хакери доберуться і до їхньої енергетичної системи.  
Колишній директор національної розвідки США говорить: щоб завдати країні стратегічний збиток, таку атаку має сенс починати в найспекотніший або найхолоднішу пору року, коли мережі випробовують максимальне навантаження. Атаку краще починати на східному узбережжі. Завдання хакера - вивести з ладу кілька генераторів з таким розрахунком, щоб ініціювати каскадне відключення підсистем.  
Щоб знищити генератор, потрібно відключити автоматику, перевести генератор в ручний режим і запустити його в екстремальному режимі. Як показали дослідження (експеримент Aurora, проведений Департаментом енергетики США в лабораторії Idaho National Labs), це дійсно реально здійснити.  

Інформаційна  безпека в Бразилії моделювання і  прогнозування аутсорсинг рішень

Проблеми  безпеки обмежити використання інформаційних  технологій та Інтернет. These concerns especially impact small and mid-sized organizations with limited human and financial resources to address security issues. Ці проблеми особливо мали вплив малих і середніх організацій з обмежених людських і фінансових ресурсів для вирішення питань безпеки. Information security outsourcing provides a cost-effective solution for these organizations. Інформаційна безпека аутсорсинг забезпечує економічно ефективне рішення для цих організацій. This paper reviews outsourcing theories and purchase intention models in relation to information security outsourcing drivers and barriers. У цьому документі розглядаються аутсорсингу теорій і моделей намір зробити покупку щодо інформаційної безпеки аутсорсінгу водіїв і бар'єрів. Logistic regression analysis is used to build predictive equations for security outsourcing in small, mid-sized and large organizations. Логістичний регресійний аналіз використовується для побудови інтелектуального рівнянь в аутсорсингу безпеки в малих, середніх і великих організацій. The findings provide a planning structure for security vendors, government agencies, and non-government organizations working to end the digital divide and extend the benefits of information technology and the Internet to organizations of all sizes throughout the world. Результати забезпечують планування структури безпеки постачальники, урядові установи, і неурядових організацій, що працюють в кінці цифрового розриву та розширення переваг інформаційних технологій та Інтернет для організацій усіх розмірів по всьому світу. 

                                                       Система інформаційної безпеки  
                                   від злочинних посягань в Бразилії та

                            бразильська теорія «Захист інформації» 

      Критична  маса науково-практичних знань, у тому числі на рівні експертних оцінок і системного аналізу емпіричного  матеріалу історії розвитку інформаційних  відносин, дозволяють сформувати елементи загальної теорії організації інформаційної  безпеки щодо захисту інформації в автоматизованих системах.

      Формування  елементарної бази цієї теорії, з точки  зору наукознавства, передбачає визначення методологічних аспектів та взаємозв’язків з іншими науковими дисциплінами.

      На  основі теорії критичної маси інформації визначається тенденція, що у своїй  єдності за наукове явище, формується як міжгалузевий комплексний інститут (наукова дисципліна), що створюється  на межі поєднання технічних і  гуманітарних наук: правової інформатики, інформаційного права та тектології (теорії організації соціальних систем). Тобто, за природою свого походження інформаційна безпека має триєдиний  зміст, що доповнюється і у перспективі  буде доповнюватися спеціальними знаннями з інших галузей, підгалузей, інституцій технічних та суспільних наук.

      З точки зору теорії організації і  теорії систем, у їх науковому синтезі  – теорії організації систем управління, формування цілеспрямованих, керованих систем (у тому числі будь-яких практичних заходів) – передбачає наявність визначення елементів системи та осмислення проблематики предметної галузі (її природи) в цілому.

      Зазначимо, що елементами системи інформаційної  безпеки щодо захисту інформації в автоматизованих системах від  злочинних посягань виступають такі найважливіші чинники.

      Елементи  соціальної системи першого порядку:

      перший  – суб’єкти (окремі люди, їх спільноти, різного роду організації, суспільство, держава, інші держави, їх союзи, світове співтовариство);

      другий  – відносини між суб’єктами (суспільні відносини), що визначаються за певними об’єктивно існуючими критеріями - умовами.

      Адміністративно-правові  та кримінально-правові відносини  виникають, змінюються і припиняються за умов волевиявлення суб’єкта, наділеного публічною владою для управління певною соціальною організацією (це, переважно, держава в особі органів публічної влади, керівники, посадові особи). При таких видах суспільних відносин переважає воля органу публічної влади, що покликана чітко визначити, сформулювати, закріпити у відповідній юридичній формі свою волю щодо суспільних відносин і створити механізм їх дотримання, переважно за допомогою методів переконання та примусу (адміністративно-правової чи кримінально-правової відповідальності).

      Цивільно-правові  відносини виникають, змінюються і  припиняються на умовах юридичної незалежності і рівності сторін, при взаємному волевиявленні цих сторін (суб’єктів).

      Третій  чинник – об’єкт суспільних відносин – інформація в автоматизованих (комп’ютерних) системах.

      Відповідно  до положень теорії систем визначимо  елементи другого порядку – підсистеми, що є складовими системи першого порядку.

      Серед таких існує класифікація суб’єктів  суспільних відносин, яку можна розширювати  залежно від потреб дослідження  предметної галузі. Наприклад, суб’єкти інформаційної безпеки можна  поділити на декілька категорій стосовно: правового статусу регулювання  відносин – суб’єкти регулювання  відносин та суб’єкти учасників відносин; мети учасників правовідносин – правомірні учасники та правопорушники тощо.

      Класифікація  суспільних відносин стосовно безпеки  інформації в автоматизованих (комп’ютерних) системах має багатоаспектний зміст, який визначається залежно від галузей знань. Проте умовно їх можна поділити на два загальні види: соціальні та технічні.

      У суспільно-правовому розумінні правовідносини інформаційної безпеки щодо захисту  інформації в автоматизованих системах мають забезпечувати нормальне (безпечне) функціонування інформаційних систем, технічну основу яких складають засоби комп’ютерної техніки та засновані  на них технології.

      Провідна  системна мета правовідносин – захист суспільних інформаційних відносин від негативних впливів на них: соціогенних (соціальних), у тому числі криміногенних; техногенних (аварій, технічних катастроф); природних (стихійних) впливів (стихійних лих).

      Важливим  аспектом загальних положень інформаційної  безпеки стосовно захисту інформації в автоматизованих системах є  наукове визначення і формулювання принципів її реалізації.

      З точки зору теорії організації систем соціального управління, зазначені принципи повинні мати чітку ієрархічну структуру, визначення за певними критеріями. Виходячи з положень природи інформаційної безпеки як тектологічного явища, пропонується поділ принципів за групами першого порядку та подальшими (підсистемні, субсистемні). До першого порядку можна віднести: організаційно-правові; організаційно-управлінські; організаційно-технічні.

      Залежно від науково-практичних потреб організаційної діяльності (організовування) принципи інформаційної безпеки можуть поділятися на групи другого та подальшого порядків.

      Важливим  аспектом проблем теорії організації  інформаційної безпеки є визначення її напрямів на засадах комплексного підходу методів захисту. Умовно можна визначити такі напрями організації захисту інформації в автоматизованих системах: правові, управлінські, інженерно - технологічні.

      Формування  будь-якої теорії у методологічному  аспекті передбачає визначення методів  пізнання предметної галузі та науково обгрунтованого впливу (організація, управління) на предметну галузь.

      Аналіз  науково-практичних джерел та емпіричного  матеріалу дозволив сформулювати предметний метод інформаційної безпеки (“метод застосування методів”, метод-принцип, мета-метод) – це комплексне застосування управлінських, правових та інженерно-технологічних  методів захисту інформації в  автоматизованих системах.

      На основі зазначених положень можна зробити висновок про існування потреби формування проблематики окремих аспектів (інститутів) загальної теорії та практики інформаційної безпеки щодо захисту інформації в автоматизованих системах. У зв’язку з цим існує можливість виділення двох частин теорії: загальної частини (фундаментальних, загальних положень) та особливої частини (відносин щодо окремих напрямів функцій на основі загальних положень).

      На  загальнотеоретичному рівні визначимося у наступних ключових особливих проблемах інформаційної безпеки стосовно організаційного аспекту захисту інформації в автоматизованих системах.

      Першу групу складають інститути проблем:

      1) доступу до інформації;

      2) забезпечення цілісності інформації  щодо загроз її порушення;

      3) комплексного контролю за інформаційними  ресурсами у певному середовищі  їх функціонування відповідно  до матеріальних носіїв інформації  – людських (соціальних), людино-машинних (людино-технічних) та технологічних;

      4) сумісності систем захисту інформації  в автоматизованих системах з  іншими системами безпеки відповідної  організаційної структури;

      5) виявлення можливих каналів несанкціонованого  витоку інформації;

      6) блокування (протидії) несанкціонованого  витоку інформації;

      7) виявлення, кваліфікації, документування, порушення стану інформаційної  безпеки, визначення санкцій і  притягнення винних до відповідальності.

      На  зазначені напрями забезпечення інформаційної безпеки відповідного об’єкта захисту впливають такі фактори:

      а) фактор рівня досягнень науково-технічного прогресу (переважно в галузі розвитку, удосконалення технічних засобів);

      б) технологічний фактор (в окремих  джерелах його ще називають алгоритмічний  фактор, коли техніка може бути однаковою, а технології її застосування різні; цей фактор ще є визначальним для формування методик як отримання інформації, так і її захисту);

      в) соціальний (людський) фактор.

      Загальний аналіз проблем організації захисту  інформації в автоматизованих системах дозволяє визначити три агреговані організаційні моделі заходів:

      1. Організація запобіжних заходів;

      2. Організація блокування (протидії) реальних загроз, що реалізуються;

      3. Організація подолання наслідків  загроз, яких не вдалося запобігти  чи блокувати.

      Важливим  елементом організації інформаційної  безпеки – захисту інформації – є поділ заходів на групи щодо протидії. В теорії і практиці майже однозначно виділяють три такі групи:

      активні засоби захисту (наприклад, розвідка, дезінформація, зашумлення тощо);

      пасивні засоби захисту (встановлення екранів  несанкціонованого витоку інформації);

      комплекс  засобів захисту (органічне поєднання  вищевказаних груп).

      Звернемо  увагу на організаційні заходи при  блокування (протидії) несанкціонованого  доступу до автоматизованої інформаційної  системи та подолання наслідків  загроз, яким не вдалося запобігти. Вони можуть бути спрямовані на: документування методів несанкціонованих дій щодо доступу до автоматизованої системи  для подальшого їх дослідження; збереження слідів правопорушення; взаємодію, за необхідності із державними правоохоронними органами, щодо виявлення та розкриття правопорушення, в тому числі за виявлення підготовки до злочину і розкриття замаху на злочин; сприяння у притягненні винних до відповідальності (кримінальної, адміністративної, цивільно-правової, дисциплінарної).

      Всі організаційні заходи щодо інформаційної безпеки, у тому числі в умовах застосування автоматизованих систем, базуються на знаннях і використанні тих чи інших фізичних явищ, що характеризують відповідні форми подання (виразу) інформації. Дані фізичні явища, зокрема ті, що може використати зловмисник, є достатньо відомими.

      Завдання  організації інформаційної безпеки  щодо захисту інформації в автоматизованих  системах визначаються за напрямом, протилежним  до загрози безпеці. При реалізації заходів захисту інформації важливим аспектом є визначення і перевірка стану безпеки. В теорії і практиці це знаходить вираз в такій категорії, як “метрологія”. За допомогою метрологічної діяльності з’ясовується рівень розробки і наявність відповідних засобів, норм і методик, що дозволяють оцінити якість функціонування системи захисту інформації, тобто визначити, чи відповідає існуючим нормам система захисту.

      Формалізація  норм і методів метрології стану  інформаційної безпеки об’єкта  знаходить вираз у відповідних  нормативних актах, що в теорії права  називають “юридико-технічними”  нормами (технічними стандартами, методичними  рекомендаціями тощо).

      При застосуванні визначених у них нормативів слід враховувати природну властивість  – втрачати з часом актуальність. Це пов’язане з тим, що з розвитком науково-технічного прогресу можуть змінюватися норми і методи контролю захищеності інформації у відповідному середовищі її існування. Практика свідчить, що, як правило, норми і методи контролю мають тенденцію до удосконалення. Попередні нормативи виступають за орієнтири, точки опори для формування нових нормативів. Сам термін “норматив” свідчить про те, що існують фундаментальні межі можливих існуючих фізичних приладів метрології на певному етапі пізнання людством законів природи.

      У ході організації, в тому числі створення  алгоритмів (методик) захисту інформації технічними засобами, завдання суб’єкта полягає не тільки у нарощуванні  існуючих засобів технічного захисту  інформації, але й в урахуванні можливих новацій. При цьому переважно повинен реалізовуватися принцип агрегації новацій до існуючої системи захисту. Краще, коли існує можливість інтеграції через новації засобів захисту і вилучення з системи захисту застарілого обладнання. Але при цьому не слід забувати, що старі засоби захисту, що можуть функціонувати автономно в системі захисту, не повинні зніматися з “озброєння” бездумно.

      Стосовно  організації захисту інформації в автоматизованих системах, то слід враховувати, що хоч в основі автоматизованої системи знаходиться технічний пристрій, який обробляє інформацію, але при його використанні так чи інакше присутній людський фактор. При цьому людина виступає безпосередньо як користувач автоматизованої системи, або опосередковано як розробник такої системи.

      З цього виходить, що на можливість надійності системи захисту інформації в автоматизованих системах впливає два взаємопов’язані фактори: людський та інженерно-технологічний.

      В аспекті теорії систем організація  захисту інформації в автоматизованих  системах передбачає обумовлене виділення  внутрішньосистемних і зовнішньосистемних ознак, що утворюють діалектичну гіперсистему організації меж безпеки.

      Зазначені елементи основ теорії організації  захисту інформації зумовлюють необхідність формування і розвитку окремих теорій інформаційної безпеки, зокрема  її складової – теорії організації  захисту інформації в автоматизованих  системах, у таких аспектах: організаційному; пов’язаному з ним правовому та інженерно-технологічному. Останній поєднує в собі взаємопов’язані технічний (апаратний) та алгоритмічний (програмний) аспекти, що можуть знаходити відображення у відповідних юридико-технічних нормах.

      Будь-яка  загальна теорія вважається науковою, коли вона має чітко визначені  методи пізнання предметної області (галузі, сфери), закономірностей природи (фізики) і суспільства. Таким чином, щоб претендувати на статус науковості, загальна теорія організації інформаційної безпеки повинна мати визначену сукупність методів пізнання її предмета і об’єкта.

      Враховуючи  міжгалузевий характер теорії організації  інформаційної безпеки, в ній  поєднуються методи пізнання традиційних фундаментальних наук: соціології та фізики. Це зумовлено безпосереднім предметом теорії – людино - машинними системами, якими є автоматизовані інформаційні системи.

      Звичайно, сферою дослідження теорії є практика захисту інформації в автоматизованих системах: її закономірності, принципи, різного рівня проблеми і завдання їх вирішення. Сьогодні формалізація проблем і завдань здійснюється переважно за допомогою методів евристики: формально-евристичним та евристичним методами. Домінуюче положення серед цих методів займає метод експертних оцінок та метод оцінки критичної маси інформації (прикладний системний аналіз). За допомогою цих методів, зокрема, робляться оцінки функціонування систем захисту інформації. Проте, ці методи мають і свої недоліки: наявність людського фактору – суб’єктивізм експерта та потенційне обмеження інформації у формі знань, якими володіє експерт.

      Подоланню цих недоліків допомагає когнітологія – наука про знання. Відповідно до положень цієї науки в загальній теорії захисту інформації визначаються за аксіоми когнітологічні положення про рівень і відносність ентропії (невизначеності) системи пізнання (людини, спільноти) та її вплив на формування теоретичних положень, їх відносну істинність на певний момент часу. Відносність істини визначається кількісними і якісними характеристиками множини знань, якими володіє той чи інший суб’єкт відносин, навичками їх застосування, інтелектуальним потенціалом та швидкістю розумових реакцій на певні ситуації. Відносність захисту інформації визначається відносністю знань суб’єкта захисту і відносністю загроз захисту, зокрема знань зловмисника.

      У контексті визначення об’єктивності  експертної оцінки організації захисту  інформації, подолання суб’єктивізму, наприклад при визначенні стану інформаційної безпеки об’єкта, застосовується метод залучення кількох експертів. Але, як справедливо відмічають деякі дослідники, при цьому виникає питання: хто може вважатися висококваліфікованим експертом (кваліфікаційні ознаки експерта) і скільки таких експертів потрібно для істинності висновків, подолання суб’єктивізму?