Тема 15. Інформаційна безпека. Ризики та протоколи інформаційної безпеки. Тема 16. Керування ризиками в інформаційних системах.

Інформаційна безпека — це стан захищеності систем передавання, опрацювання та зберігання даних, при якому забезпечено конфіденційність, доступність і цілісність даних. 

Також під інформаційною безпекою розуміють комплекс заходів, спрямованих на забезпечення захищеності даних від несанкціонованого доступу, використання, оприлюднення, внесення змін чи знищення. 

Принципи інформаційної безпеки:

Конфіденційність — забезпечення доступу до даних на основі розподілу прав доступу, захист від несанкціонованого ознайомлення, можливість доступу до інформації тільки визначеним особам. 

Дані можуть бути відкриті (право доступу мають усі користувачі), до деяких даних має доступ тільки певна група людей, а деякі дані — особисті, до них доступ може мати тільки одна людина.

Доступність — вільний доступ до інформації авторизованим користувачам.

Цілісність — забезпечення достовірності й повноти інформації і методів її опрацювання.

Основна загроза інформаційній безпеці виникає в комп’ютерних мережах. Для передавання інформації та її убезпечення існують мережеві протоколи різних рівнів, які зазвичай називають протоколами інформаційної безпеки. Широко відомий протокол IP не має засобів захисту даних, які передаються, навіть не гарантує, що відправник є саме тим, за кого себе видає.

Технології для убезпечення даних

IP Security (скорочено IPSec) — це комплект протоколів, що стосуються питань шифрування, аутентифікації та забезпечення захисту під час транспортування IP-пакетів. Засоби IPSec використовують стандартні алгоритми (тобто математичні формули) шифрування й аутентифікації, які мають назву «перетворення».Технологія IPSec і пов’язані з нею протоколи захисту (наприклад, IKE) відповідають відкритим стандартам, які підтримуються групою IETF (Internet Engineering Task Force — проблемна група проектування Internet). IPSec діє на мережевому рівні, забезпечуючи захист і аутентифікацію пакетів IP, що пересилаються між пристроями (сторонами) IPSec — такими, як маршрутизатори, брандмауери, клієнти та концентратори тощо.

IKE (Internet Key Exchange — обмін Internet-ключами) — гібридний протокол, який забезпечує спеціальний сервіс для IPSec: аутентифікацію сторін IPSec, вибір ключів для алгоритмів шифрування, що використовуються в рамках IPSec.

Технологія SSL VPN розроблена для надання доступу віддаленим і мобільним користувачам.

Клієнт отримує захищений доступ лише до тих ресурсів, які вважаються необхідними для певних користувачів. Технологія SSL VPN використовує протокол HTTPS, доступний у всіх стандартних веб-браузерах як безпечний механізм доставки без залучення додаткового програмного забезпечення.

HTTPS (від англ. Hyper Text Transfer Protocol Secure — безпечний протокол передавання гіпертексту) — розширення протоколу HTTP, який підтримує шифрування за допомогою криптографічного протоколу SSL.

Застосування ІТ у бізнесі збільшує кількість можливих ризиків. Інформаційні ресурси та об’єкти ІС можуть піддаватися діям, що призводять до негативних наслідків, які спотворюють дані й можуть призвести до руйнування ІС.

Класифікація ІТ-ризиків:

• Ризики, викликані діями персоналу (навмисні, ненавмисні)

• Технологічні ризики (збої, відмова в роботі устаткування)

• Ризики, пов’язані з використанням неліцензійного програмного забезпечення.

Інформаційний  ризик - можливість настання випадкової події в інформаційній системі, унаслідок якої може буде завдано збитків. Розрізняють внутрішній (причини породжуються всередині підприємства) і зовнішній (поза межами підприємства).