Ақпараттық қауіпсіздік

Ақпараттық қауіпсіздікті қамтамасыз ету

• Ақпараттық қауіпсіздікті қамтамасыз етудің басты құрамдасы – қауіпті анықтау және жіктеу.
• Ақпараттық қауіпсіздікке қауіп – бұл қорғалған ақпаратқа қауіп тудыратын факторлар мен жағдайлардың жиынтығы.
• Ақпараттық қауіпсіздік қатерлері – бұл ақпараттың құпиялылығын, тұтастығын немесе қолжетімділігін бұзғаны.
• Автоматтандырылған жүйесінің (АЖ) қауіпсіздік қатерлер – бұл ақпараттың құпиялылығын, тұтастығын немесе қолжетімділігін бұзғаны, жұмыс істеу айнымалы ток компоненттерін, олардың жоғалуына, жетекші жою немесе басты ықпал етуге мүмкіндік әкеледі.

Ақпараттық қауіпсіздікке төнетін қауіптердің жіктелуі

• Рұқсат етілмеген қол жеткізу – пайдаланушының, ұйымда қабылданған қауіпсіздік саясатына сәйкес рұқсаты жоқ компьютерлік жүйелерге, желілерге немесе деректерге қол жеткізуді алуы.
• Тұтастықты бұзу қаупі – деректердің тұтастығы ақпараттың өзгеріссіз және дәл болып қалуын білдіреді. Жасаушының немесе иесінің рұқсатынсыз деректерді кездейсоқ немесе қасақана өзгерту немесе жою мүмкіндігі.
• Ақпараттың ашылуы – құпия болып қалуы керек сезімтал ақпараттың жайылып кетуін және таралуын білдіреді.
• Ақпараттық қауіпсіздік қатерінің бұл түріне:
  • ақпаратты ұрлау (көшіру) ;
  • ақпаратты жою;
  • ақпаратты өзгерту (бұрмалау);
  • ақпараттың қолжетімділігін бұзу (бұғаттау);
  • ақпараттың түпнұсқалығын жоққа шығару;
  • жалған ақпарат таңу жатады.

Жүйелердің қауіпсіздігіне зиянды бағдарламалар

• Зиянды бағдарламалар – бұл компьютерге, желіге немесе серверге зиян келтіруі мүмкін кез келген бағдарлама немесе файл.
• Зиянды бағдарламалар құпия деректерді ұрлайды, шифрлайды және жояды, негізгі есептеу функцияларын өзгертеді немесе ұстайды, және компьютерлердің немесе қосымшалардың белсенділігін қадағалайды.
• «Вирус» – бұл вирустың көшірмесін өзіне қосатындай етіп, оларды өзгерту арқылы, басқа бағдарламаларға жұқтыруға қабілетті бағдарлама.
• «Трояндық ат» – бұл жасырын немесе айқын бағдарламалық кодты қамтитын бағдарлама, оны орындау кезінде қауіпсіздік жүйесінің жұмысы бұзылады.
• «Құрт» – бұл өзінен-өзі көбейетін, байланыс желілері бойынша жүйелер мен желілерде таралатын бағдарлама.
• Руткиттер – бұл қылмыскерлердің немесе зиянды бағдарламалардың әрекеттерін көрінбейтін етіп жасайтын бағдарламалар. Руткит қылмыс іздерін жасыра отырып, киберқылмыскерлерге жүйеге кіруге, оны басқаруға, тыңшылыққа, деректерді ұрлауға, зиянды бағдарламалар мен шабуылдарды жүргізуге көмектеседі.
• Бэкдор (ағылш.back door -- «артқы есік»)- компьютерді алыстан басқаруға мүмкіндік беретін қосымша. Бұл қаскүнем басқа біреудің құрылғысынан деректерді алып, оны қашықтан басқара алатын осалдық.
• Жүктеуші – зиянды бағдарламаның толық нұсқасын одан әрі жүктеуге арналған код. Зиянды бағдарламалар класына снифферлерді (желілік пакеттерді ұстап қалатын бағдарламалар), парольдерді таңдау бағдарламаларын, буфердің толып кетуіне шабуылдарды, кейбір қосымшаларда – дизасемблерлер мен ретке келтіргіштерді жатқызуға болады.

Киберқауіпсіздік индустриясы

• Киберқауіпсіздік индустриясы – бұл пайдаланушының немесе жүйенің ақпараттық қауіпсіздігіне жауап беретін сала.
• Осы сектордың негізгі компаниялары: Cisco Systems, Software Technologies, Check Point, MCAfee, Касперский зертханасы.

Ақпаратты қорғаудың шаралары мен құралдары

• АЖ-де ақпараттың қауіпсіздігін қамтамасыз етудің әдістері:
  • Кедергі
  • қолжетімділікті басқару;
  • шифрлау механизмдері;
  • зиянды бағдарламалардың шабуылдарына қарсы іс-қимыл;
  • регламенттеу;
  • мәжбүрлеу;
• Қауіпсіздік құралдары:
  • Техникалық: күзет және өрт дабылы жүйелері, цифрлық бейне бақылау, қол жеткізуді бақылау және басқару жүйесі (ғимаратқа кіруді және шығуды бақылау механизмі), экрандалған жабдықты пайдалану.
  • Аппараттық: шифрлауға, парольдерді сақтауға, адамның жеке сипаттамаларын өлшеуге (дауыс, ізтаңбалар және т.б.) арналған құрылғылар.
  • Бағдарламалық жасақтама: антивирустық бағдарлама, VPN, желіаралық экрандар, proxy-серверлер.
  • Ұйымдастырушылық: ұйымдық-техникалық (компьютерлік ғимараттармен қамтамасыз ету, кабельдік жүйені орнату) және ұйымдық-құқықтық (ұлттық заңнамалық актілер мен нормалар, белгілі бір кәсіпорынның немесе мемлекеттің басшылығымен белгіленген жұмыс ережелері) құралдардың жиынтығы.

Шифрлау және ЭЦҚ

• Шифрлау – бұл деректерді тиісті ақпаратсыз (шифрлау кілтінсіз) оқуға болмайтын түрге түрлендіру.
• Шифрлау арқылы:
  • бөгде адамдар үшін ақпараттың қолжетімсіздігі;
  • ақпараттың түпнұсқалығы (ақпарат бұрмаланбаған түрде түседі);
  • ақпараттың тұтастығы (жеткізілетін деректер жіберу процесінде өзгеріссіз қалады) қамтамасыз етіледі.
• Электрондық-цифрлық қолтаңба (ЭЦҚ) — бұл электрондық құжаттың авторлығын тексеруге арналған байттар тізбегі.
• ЭЦҚ электрондық құжаттың түпнұсқалығын, тұтастығын және авторлығын растау болып табылады.
• ЭЦҚ – бұл электрондық тіркеу куәлігін (сертификат) және ЭЦҚ жабық кілтін пайдалана отырып, ақпаратты криптографиялық түрлендіру нәтижесінде алынған электрондық құжаттың деректемесі, қолмен қол қоюдың баламасы.
• ЭЦҚ жабық кілті мен сертификаты SMART-картада шығарылады.
• SMART-карта PIN-кодпен қорғалған.
• ЭЦҚ электрондық құжатты қолдан жасаудан қорғауға, сондай-ақ оның тұтастығын анықтауға көмектеседі.
• ЭЦҚ шифрлаудың жалпы алгоритмдеріне мыналар жатады: RSA, Эль-Гамаль, DSA алгоритмдері.

Ақпараттық қауіпсіздік саласындағы стандарттар мен спецификациялар

• Ақпараттық жүйелердің қауіпсіздігі шаралары мен құралдарын сипаттауға мүмкіндік беретін бірқатар стандарттар мен спецификациялар бар.
• X.800 ұсынысы үлестірілген жүйелердің ақпараттық қауіпсіздігін реттейді.
• ISO/IEC 15408 стандарты ақпараттық технологиялардың қауіпсіздігін бағалау критерийлерін сипаттайды.
• ISO/IEC 17799: 2005 «Ақпараттық технологиялар. Қауіпсіздік технологиялары. Ақпараттық қауіпсіздік менеджментінің практикалық ережелері».
• ISO/IEC 27001.«Ақпараттық технологиялар. Қауіпсіздікті қамтамасыз ету әдістері. Ақпараттық қауіпсіздікті басқару жүйелері. Талаптар».

Қазақстан Республикасының ақпараттық қауіпсіздік саласындағы реттеуші құқықтық қатынастар заңнамасы

• Қазақстан Республикасының ақпараттық қауіпсіздік саласындағы реттеуші құқықтық қатынастар заңнама актілері:
  • ҚР ақпараттық қауіпсіздік тұжырымдамасы (2011ж.)
  • «Ұлттық қауіпсіздік туралы» ҚР Заңы (6-бап)
  • «Ақпараттық-коммуникациялық технологиялар және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптарды бекіту туралы» ҚР Үкіметінің 12.12.2016 №832 қаулысы.