Информационная безопасность — понятие и принципы¶
Информационная безопасность — это состояние защищённости интересов личности, общества и государства от угроз, связанных с накоплением, обработкой, хранением и передачей информации. Простыми словами, это комплекс мер, которые обеспечивают конфиденциальность, целостность и доступность данных: чтобы информацию не украли, не исказили и чтобы к ней имели доступ только те, кому это разрешено.
¶Основные понятия
Информационная безопасность опирается на три базовых принципа, известных как модель CIA:
- Конфиденциальность (Confidentiality) — информация доступна только авторизованным пользователям. Пример: пароль от банковского счёта известен только владельцу и банку.
- Целостность (Integrity) — данные не изменяются несанкционированно. Пример: сумма в платёжной транзакции не может быть подменена хакером.
- Доступность (Availability) — информация и сервисы доступны тогда, когда в них нуждаются. Пример: сайт госуслуг должен работать в часы приёма заявлений, а не быть выведен из строя атакой.
К этой модели часто добавляют четвёртый элемент — неотказываемость (Non-repudiation): участник обмена данными не может отрицать факт своей отправки или получения.
¶Угрозы
Угрозы информационной безопасности делят на технические и человеческие.
¶Технические угрозы
- Вредоносное ПО — вирусы, шифровальщики (ransomware), шпионские программы.
- Сетевые атаки — перехват трафика (MITM), отказ в обслуживании (DDoS), подбор паролей.
- Эксплуатация уязвимостей — использование ошибок в программном коде для получения доступа к системе.
- Фишинг — массовая рассылка поддельных писем для получения учётных данных.
¶Человеческий фактор
По статистике большинство инцидентов связаны не с «суперхакерами», а с ошибками самих пользователей: слабые пароли, переход по подозрительным ссылкам, передача кодов из SMS посторонним, установка программ из неофициальных источников. В корпоративной среде к этому добавляется утечка данных недовольными или неосторожными сотрудниками.
¶Уровни информационной безопасности
Защищать нужно не только цифровые данные. Выделяют уровни:
| Уровень | Объект защиты |
|---|---|
| Технический | Компьютеры, сети, программное обеспечение |
| Организационный | Внутренние регламенты, доступ сотрудников, обучение |
| Правовой | Законы, лицензии, договоры, ответственность |
| Физический | Дата-центры, серверные, носители информации |
¶Правовое регулирование в России
В Российской Федерации основной закон в области — Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (2006). Он определяет понятие информационной безопасности, права и обязанности операторов данных.
Ключевые нормативные акты:
- Федеральный закон № 152-ФЗ «О персональных данных» (2006) — устанавливает требования к обработке и хранению персональной информации граждан.
- Указ Президента РФ № 646 «Стратегия развития информационной безопасности Российской Федерации» (2016) — определяет государственную политику в сфере.
- Приказ ФСТЭК — технические требования к защите информации в государственных и коммерческих системах.
Ответственность за нарушение законодательства в этой области предусмотрена Административным и Уголовным кодексами РФ — от штрафов до лишения свободы за неправомерный доступ к компьютерной информации (ст. 272 УК РФ).
¶Государственная информационная безопасность
На уровне государства под информационной безопасностью понимают защиту суверенитета, политических и экономических интересов в информационном пространстве. В России этим занимаются Федеральная служба безопасности (ФСБ), Федеральная служба по техническому и экспортному контролю (ФСТЭК), Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА), а также Центр мониторинга и реагирования на компьютерные инциденты (ГосCERT ФСТЭК).
¶Информационная безопасность в повседневной жизни
Базовые правила для обычного пользователя:
- Использовать уникальные сложные пароли для разных сервисов, желательно с менеджером паролей.
- Включать двухфакторную аутентификацию.
- Устанавливать обновления операционной системы и приложений.
- Не открывать вложения и ссылки в подозрительных письмах.
- Делать резервные копии важных данных.
- Проверять настройки приватности в социальных сетях.
¶Профессия специалиста по информационной безопасности
В России подготовка специалистов ведётся в ведущих технических вузах — МГУ, МФТИ, Бауманском МГТУ, СПбПУ, НИУ ВШЭ и других. Профессия входит в перечень наиболее востребованных на рынке труда: по данным агентств по подбору персонала, дефицит специалистов в сфере кибербезопасности сохраняется стабильно. Типичные должности — аналитик SOC, специалист по тестированию на проникновение (пентестер), инженер по защите информации, специалист по реагированию на инциденты.
Источники:
- Федеральный закон РФ № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
- Федеральный закон РФ № 152-ФЗ «О персональных данных»
- Указ Президента РФ № 646 «Стратегия развития информационной безопасности Российской Федерации»
- Методические документы ФСТЭК России по защите информации
- ГОСТ Р ИСО/МЭК 27001 «Информационная технология. Системы менеджмента информационной безопасности»