ПРАВИЛА

Абсолютной безопасности не существует

Правило #1: Ничего не предполагайте

Автор блога "ИНФОтека. Информационная безопасность" Константин Бояндин  приводит пример того, как нарушение этого правила может повлечь за собой ощутимые неприятности.

Частым явлением в Сети является т.н. «фишинг» (от английского глагола to fish — рыбачить, выуживать). Простыми словами: способ сбора данных для доступа к тем или иным ресурсам путём введения людей в заблуждение. Пример: вы получаете письмо от вашей почтовой службы, где сообщают: была попытка взлома вашего ящика! Чтобы подтвердить, что ящик ваш, обязательно зайдите вот по этой ссылке и введите ваш подлинный пароль, иначе мы заблокируем вашу почту!

Доводилось получать такие, или подобные им письма?

Если вы предположите (не проверив), что письмо действительно от администрации почтовой службы, вы как минимум можете утратить, на время или насовсем, доступ к электронной почте. А ели у вас там приватная переписка? Данные о регистрации на сервисах Сети? Последствия могут быть каскадными, и очень печальными.

Итак, чтобы поддерживать должный уровень безопасности, не опирайтесь на предположения. Это не означает подозревать всех и вся в возможной угрозе или фальсификации. Нет, это означает, что в любой ситуации, когда ваши частные данные могут быть под угрозой, проявляйте здоровый скепсис и убедитесь, что всё именно такое, каким старается казаться.

Правило #2: Абсолютной безопасности не существует

Любые меры безопасности практически всегда относятся к противостоянию брони и снаряда. Ни одна из сторон этого состязания не стоит на месте. Поэтому недостаточно поставить защитные средства, проверить, что доступа к данным нет ни у кого лишнего, и почивать в спокойствии. Безопасность — это дисциплина. Так же, как здоровый образ жизни предполагает периодические действия, чтобы организм чувствовал себя отлично (физические упражнения, правильное питание, и так далее), точно так же и безопасность — это необходимость периодически проверять состояние дел и принимать меры, если требуется что-то изменить или улучшить.

Вот некоторые практические следствия из второго правила:

• нет и не может быть программы (устройства, методики), которая на 100% и навсегда защитит вас от угроз киберпространства и окружающей реальности;

• любые сведения и методики практического рода всегда устаревают, это только вопрос времени;

• вам следует предусмотреть не только способы оградить ваши данные от непрошеных гостей, но и разработать план действий на случай, если нарушение безопасности всё-таки состоялось.

Правило #3: Дёшево, удобно, безопасно: выбирайте любые два

Наиболее безопасный (с точки зрения потери данных) компьютер — выключенный и запертый в непроницаемый для радиоволн сейф. Оптимально — в труднодоступном и непригодном для жизни месте. Шутка, конечно, но в ней есть определённая доля смысла. Помимо основных каналов утечки информации (собственно доступ к компонентам компьютера или передаваемой им штатным образом информации) есть и т.н. сторонние каналы. Приведу пример такого канала: при работе клавиатуры разные клавиши не только издают разный звук, но и создают специфические электромагнитные импульсы. Анализ соответствующих данных может помочь регистрировать нажатия клавиш, даже если нет непосредственного доступа к комьпютеру.

Методики предотвращения доступа к данным существуют для каждого конкретного типа атаки. Вопрос только в том, во сколько обойдётся попытка защититься от всего.

Сразу отвечу: обойдётся очень недёшево.

Если вы попытаетесь предусмотреть возможные способы усиления безопасности, то очень скоро поймёте, что вам придётся жертвовать чем-то одним: удобством работы; дешевизной; надёжностью принятых мер.

Единственный способ способ максимально надёжного ограничения доступа к информации на компьютере приведён в начале этой части. И он уж точно неудобен и недёшев.

Как тогда быть?

Одно из «малых» правил компьютерных систем гласит: 10% занятий отнимают 90% времени. Есть разные вариации этого высказывания, но почти всегда соблюдается пропорция, похожая на 10:90.

Предположим, что 10% всех потенциальных «взломщиков» (на самом деле существенно меньше) — те, которых не удастся держать от компьютера на расстоянии. Простейший пример --  представители гос.органов, которым крайне легко получить доступ к вашему оборудованию.

Поэтому вам не нужно пытаться отгородить их от ваших данных. Это, в случае типичной ситуации, вряд ли удастся. Взамен вам нужно принять меры, чтобы даже при доступе к вашему компьютеру человек, с которым вы не желаете делиться данными, не смог получить доступ к действительно важным данным.

Информационная безопасность — это совокупность мер (таких как установки настройка программ, определённые периодически выполняемые действия и т.д.), которая позволит оградить вас от доступа нежелательных лиц к вашим данным, а если оградить не удалось — сведёт возможный урон к минимуму.

Оставайтесь на связи!

По материалам интернет-ресурсов: http://boyandin.info/ 

http://boyandin.info/blog/315/informatsionnaya-bezopasnost-1-pervoe-pravilo-bezopasnosti