янути уразливості корпоративної інформаційної системи введемо кілька визначень відповідно до національного
стандартом Російської Федерації - ГОСТ Р 50922-2006 .
Безпека інформації (даних) - стан захищеності інформації, при якому забезпечені її конфіденційність, доступність і цілісність; захист інформації (ЗІ) - діяльність, спрямована на запобігання витоку інформації, що захищається, несанкціонованих і ненавмисних дій на захищає інформацію.
К об'єктах захисту інформації можуть бути віднесені: охоронювана територія, будівля (споруда), виділене приміщення, інформація та (або) інформаційні ресурси об'єкта інформатизації; власниками інформації можуть бути: держава, юридична особа, група фізичних осіб, окрема фізична особа; зацікавленими суб'єктами отримання захищається інформації можуть бути: держава, юридична особа, група фізичних осіб, окрема фізична особа.
Результатом захисту інформації може бути запобігання шкоди власникові інформації через можливого витоку інформації і (або) несанкціонованого і ненавмисного впливу на інформацію.
Чітко розмежовані вихідні поняття інформаційної безопасньсті:
· загроза (безпеки інформації) - сукупність умов і чинників, що створюють потенційну або реально існуючу небезпеку порушення безпеки інформації;
· джерело загрози безпеки інформації - суб'єкт (фізична особа, матеріальний об'єкт або фізичне явище), що є безпосередньою причиною виникнення загрози безпеці інформації;
· вразливість (інформаційної системи), пролом - властивість інформаційної системи, що обумовлює можливість реалізації загроз безпеці оброблюваної в ній інформації (якщо уразливість відповідає загрозі, то існує ризик).
Корпоративна інформаційна система, як і будь-яка інформаційна система схильна загрозам безпеки. Розглянемо ці загрози [3-5].
? порушення конфіденційності інформації в корпоративних інформаційних системах
? порушення цілісності інформації в корпоративних інформаційних системах.
? відмова в обслуговуванні корпоративних інформаційних системах.
Загрози можуть бути класифіковані за кількома параметрами [5]:
· за величиною принесеного збитку: граничний, після якого фірма може стати банкрутом; значний, але не приводить до банкрутства; незначний, який фірма за якийсь час може компенсувати.
· по ймовірності виникнення: вельми ймовірна загроза; ймовірна загроза; малоймовірна загроза.
· з причин появи: стихійні лиха; навмисні дії.
· за характером нанесеного збитку: матеріальний; моральний;
· за характером впливу: активні; пасивні.
· по відношенню до об'єкта: внутрішні; зовнішні.
Джерелами зовнішніх загроз є: недобросовісні конкуренти; злочинні угруповання і формування; окремі особи та організації адміністративно-управлінського апарату. Джерелами внутрішніх загроз можуть бути: адміністрація підприємства; персонал; технічні засоби забезпечення виробничої та трудової діяльності.
Найбільш небезпечною з точки зору розміру нанесеного збитку в більшості випадків є саме порушення конфіденційності інформації.
1.1.6 Несанкціонований доступ і витік інформації
Під доступом до інформації розуміється ознайомлення з інформацією, її обробка, зокрема копіювання, модифікація або знищення інформації. Розрізняють санкціонований і несанкціонований доступ до інформації. Санкціонований доступ до інформації - це доступ до інформації, що не порушує встановлені правила розмежування доступу. Правила розмежування доступу служать для регламентації права доступу суб'єктів доступу до об'єктів доступу.
Несанкціонований доступ до інформації характеризується порушенням встановлених правил розмежування доступу. Особа або процес, що здійснюють несанкціонований доступ до інформації, є порушниками правил розмежування доступу. Несанкціонований доступ є найбільш поширеним видом комп'ютерних порушень. Витік - це безконтрольний вихід конфіденційної інформації за межі організації або кола осіб, яким вона була довірена.
Причини несанкціонованого доступу до інформації: помилки конфігурації (прав доступу, файрволов, обмежень на масовість запитів до баз даних); слабка захищеність коштів авторизації (розкрад...
