Определение и цели информационной безопасности

Между тем существуют сложившиеся определения самой информационной безопасности и примыкающего к ней круга понятий. Иногда они различаются у различных специалистов (или школ). Случается, в определениях просто используют синонимы, иногда — меняются местами даже целые группы понятий. Поэтому первоначально необходимо четко определиться, о чем же будет идти речь в данной статье. Хотя оба автора получали образование в области информационной безопасности совершенно независимо друг от друга, тем не менее их определения и понятия практически совпадают, поэтому было решено использовать именно данный подход.

Для всей области знаний, охватываемой нашим сайтом, будет использоваться термин «информационная безопасность». Иногда, особенно в классификации зарубежных агентств по найму на работу, «информационная безопасность» рассматривается как один из подразделов общей безопасности, наряду с такими понятиями как «компьютерная безопасность», «сетевая безопасность», «безопасность телекоммуникаций», «безопасность данных».

На наш взгляд, понятие «информационная безопасность» более широкое, так как охватывает всё, что взаимодействует с информацией, и все вышеперечисленные понятия — это подразделы или отдельные направления информационной безопасности.

Информационная безопасность — это комплекс мероприятий, обеспечивающий для охватываемой им информации следующие факторы:

• конфиденциальность — возможность ознакомится с информацией (именно с данными или сведениями, несущими смысловую нагрузку, а не с последовательностью бит их представляющих) имеют в своем распоряжении только те лица, кто владеет соответствующими полномочиями;
• целостность — возможность внести изменение в информацию (опять речь идет о смысловом выражении) должны иметь только те лица, кто на это уполномочен;
• доступность — возможность получения авторизованного доступа к информации со стороны уполномоченных лиц в соответствующий санкционированный для работы период времени.

Иногда можно встретить определения перечисленных факторов в варианте от противного, например разглашение или раскрытие, модификация (изменение или искажение) и уничтожение или блокирование. Главное, чтобы не был искажен смысл, заложенный в указанных определениях.

Это не полный список факторов, выделены именно эти три понятия, поскольку они обычно встречаются практически во всех определениях информационной безопасности и не вызывают споров. На наш взгляд, необходимо включить дополнительные факторы и понять различие между ними, а именно:

• учет, т.е. все значимые действия лица, выполняемые им в рамках, контролируемых системой безопасности (даже если они не выходят за рамки определенных для этого лица правил), должны быть зафиксированы и проанализированы;
• неотрекаемость или апеллируемость (характерно для организаций, в которых функционирует обмен электронными документами с юридической, финансовой или другой значимостью), т. е. лицо, направившее информацию другому лицу, не может отречься от факта направления информации, а лицо, получившее информацию, не может отречься от факта ее получения.

Отличие между двумя этими факторами, возможно, видимое не сразу, заключается в следующем. Учет обычно ведется средствами электронных регистрационных журналов, которые используются в основном только уполномоченными службами, и его основное отличие — в регулярности анализа этих журналов. Апеллируемость обеспечивается средствами криптографии (электронно-цифровой подписью), и ее характерная черта — возможность использования в качестве доказательного материала во внешних инстанциях, например в суде, при наличии соответствующего законодательства.