Основы информационной безопасности. Модель злоумышленника

Введение
В настоящее время компании, государственные или общественные учреждения в своей повседневной деятельности активно используют информационные ресурсы. Их руководство осознает необходимость обеспечения информационной безопасности. Системы информационной защиты с той или иной успешностью и своевременностью внедряются практически повсеместно.
При построении системы безопасности необходимо оптимизировать баланс стоимости и удобства защиты информационных ресурсов, а также определиться с подходом: от чего отталкиваться при построении системы безопасности и как оценивать ее эффективность.
Любая компания занимается сбором, обработкой, хранением и обменом деловой информации. В процессе ее деятельности всевозможные данные участвуют в бизнес-процессах (обрабатываются), находятся в стадии хранения для дальнейшего использования и передаются между участниками бизнеса как внутри компании, так и во внешнюю среду: партнеры, клиенты и т.п.
Информация является ценным активом компании. Руководство должно реально осознавать ценность информационных активов, которыми она обладает, но конкуренты готовы заплатить тысячи и даже миллионы долларов за возможность получить доступ к чужим данным. Кроме того, законодательство прямо указывает на необходимость организации и в некоторых случаях сертификации системы информационной безопасности.
Во многих случаях весьма затруднительно оценить приблизительную стоимость той или иной информации, используемой компанией. Сложно ответить на вопрос, как повлияет хищение, раскрытие, модификация или уничтожение некоторых данных на ее имидж. Информация может оказать помощь прямым конкурентам, отпугнуть потенциальных клиентов, сорвать важные переговоры и сделки. Раскрытие негативной внутренней информации может обернуться значительным ущербом при восстановлении деловой репутации: уровня доверия в связях с общественностью.
Ущерб от утечки информации при нарушении системы безопасности должен быть оценен. Устанавливается и предполагаемая вероятность...

Заключение
Идея разработки модели нарушителя информационной безопасности родилась во второй половине 80-х годов прошлого века в Министерстве обороны США и получила путевку в жизнь в так называемой Оранжевой книге, а в начале 90-х годов плавно перекочевала в руководящие документы Гостехкомиссии России.
Введение модели нарушителя используется для определения возможных каналов несанкционированного доступа к информации, обрабатываемой с помощью автоматизированных информационных систем. В рамках выбора модели нарушителя необходимо определить следующие параметры:
- категории лиц, в числе которых может оказаться нарушитель;
- возможные цели нарушителя и их градацию по степени важности;
- предположения о квалификации нарушителя;
- степень его технической вооруженности;
- ограничения и предположения о характере возможных действий нарушителя.
При необходимости с учетом условий функционирования конкретной информационной системы модель нарушителя может быть расширена за счет привнесения в модель других категорий лиц, в числе которых может оказаться нарушитель, и соответственно его возможностей.
Уровень нарушителя определяется организационно-функциональной структурой в конкретной организации. Необходимо помнить, что программные и организационные меры защиты нельзя рассматривать по отдельности, они всегда взаимодополняют друг друга.
Корректное построение модели нарушителя позволяет проектировать и реализовывать систему обеспечения защиты информации в вычислительных системах организации адекватно имеющимся угрозам, что в свою очередь гарантирует достижение эффективного баланса между стоимостью защиты и уровнем безопасности.