Терминология в кибербезопасности

Глоссарий составлен на основании бесед с полковником в отставке, философом-алитейистом Геннадием Атамановым.

Объект безопасности

субъект, социальный актор, антропная система:

• человек-индивид (состав: тело, психика, сознание);
• организация-корпорация (активы, персонал, руководство);
• государство (инфраструктура, население, власть).

Примечание. Субъект – это носитель действия (тот, кто познаёт, мыслит или действует), а объект – то, на что направлены мысль или действие субъекта.

см. Объекты и субъекты безопасности вообще и информационной в частности

Индивид

понятие, используемое, как правило, для описания и отображения разнообразных ипостасей бытия личности. Понятие «индивид» (впервые введено в научный оборот Цицероном как латинский аналог греческого термина «атом») сопряжено с представлением об отдельно взятом представителе человеческого рода, общества, народа, класса, социальной группы, как своеобычном социальном атоме, т.е. далее принципиально неразложимом элементе бытия социума. Используется также для введения представления о человеке как носителе какого-либо единичного качества.

Корпорация

1. замкнутая группа лиц, объединённая общностью интересов (сословных, профессиональных и др.);
2. объединение, союз, общество.

Термин «корпорация», заимствованный из латинского (т.е. в его этимологическом значении), но не из английского (американского) языка, целесообразно использовать в качестве родового понятия, обозначающего любое объединение физических лиц (индивидов) – формальное (коллектив) или неформальное (группа), институализированное (юридическое лицо) или не институализированное (группа), но только не случайное и суммативное (толпа, народ).

Государство

Государство в качестве субъекта выступает только и именно на мегауровне, т.е. во взаимоотношениях с другими государствами.

Ни индивид (физическое лицо), ни корпорация (объединение, имеющее статус юридического лица, или объединение без образования юридического лица) никогда не взаимодействуют с государством! Они взаимодействуют с другими индивидами и корпорациями, в число которых входят и органы исполнительной государственной власти, которые с точки зрения системного анализа являются точно такими же элементами – «индивидами» и «корпорациями», – как и они сами.

Примечание. Согласно системной теории, государство, как антропная система более высокого уровня структурной сложности, не должно вмешиваться в процесс обеспечения безопасности антропных систем низшего уровня структурной сложности (предприятий, учреждений, организаций, человека), а обязано создавать условия для осуществления такой деятельности, задавать «опорные точки» и вектор развития отрасли.

Ситуация

сочетание условий и обстоятельств, создающих определенную обстановку, положение.

Вред

результат воздействия на объект внутренних и/или внешних факторов, выразившийся в:

• нарушении структурной целостности (деструкция)
• нарушении функциональной цельности (дисфункция)
• ухудшении условий существования (дискомфорт)

в размерах, превышающих, установленный (допускаемый) оценивающим ситуацию субъектом, порог.

Иногда такой порог устанавливает уполномоченный орган государственной власти (т.н. регулятор) или руководитель (начальник), т.е. Субъекты защиты (безопасности)

Связь между объектом безопасности и вредом

Связь между объектом безопасности и вредом

Связь между вредом и опасностью-безопасностью

Вред человеку и человеческим сообществам (антропным системам) может быть причинён в результате:

а) собственных действий (рисков):

• неполучения (несвоевременного получения) нужной информации (информационной анорексии);
• потребления ложной/вредной информации;
• информационной булимии;
• информационного эксгибиционизма;
• информационных фобий;

б) деструктивных воздействий со стороны окружающей среды или компонентов системы (угроз):

• специально организованных воздействий (атак);
• чьих-то непреднамеренных действий (ошибок);
• несчастных случаев (аварий);
• природных катаклизмов (стихийных бедствий).

Существенный вред

превышающий допустимый, с точки зрения субъекта безопасности, осуществляющего оценку, или установленный уполномоченным лицом/органом власти вред объекту безопасности.

Цель обеспечения безопасности

исключить (снизить вероятность и размеры) причинения вреда объекту безопасности в виде деструкции, дисфункции, дискомфорта.

Объект защиты

предмет или его качество, для предотвращения деструктивного воздействия на которые, субъектом защиты предпринимаются (должны предприниматься) соответствующие (необходимые и достаточные) действия.

Связь между объектом защиты и объектом безопасности

Связь между объектом защиты и объектом безопасности

Субъекты защиты (безопасности)

У каждого из направлений деятельности по обеспечению безопасности объекта безопасности должен быть и свой субъект (субъекты) безопасности!

А так как направлений деятельности по обеспечению безопасности три, то и групп субъектов безопасности может быть (и должно быть) тоже три:

• субъекты, ответственные за принятие правильных (безопасных) решений и совершение правильных (безопасных) действий;
• субъекты, ответственные за создание безопасных условий существования объекта безопасности;
• субъекты, ответственные за защиту объекта безопасности от внешних угроз.

Кто отвечает за безопасность?

1. Сам человек! («спасение утопающих — дело рук самих утопающих»)
2. Специально подготовленные люди, подразделения, организации (специалиалисты по ИБ/КБ).
3. Правоохранительные органы (т.н. «силовые структуры»).

Соотношение объектов и субъектов безопасности

Соотношение объектов и субъектов безопасности

Вся полнота ответственности за обеспечение безопасности социальных субъектов (которые одновременно является и объектами безопасности) должна лежать на них же. Это относится и к обеспечению безопасности принадлежащей им информации (информационных ресурсов): на государстве – за государственные ресурсы, на корпорации – за корпоративные ресурсы, на индивиде – за индивидуальные ресурсы.

Государство при этом должно только:

• создавать условия, при которых индивиды и корпорации имели бы возможность реализации функции обеспечения своей безопасности;
• принимать меры по созданию безопасной для индивидов и корпораций среды;
• оказывать помощь индивидам и корпорациям в ликвидации последствий деструктивных воздействий, если им не удаётся таковых избежать.

Соотношение объектов и субъектов безопасности

Соотношение объектов и субъектов безопасности

Цель защиты объекта

исключить (снизить вероятность и размеры) причинения объекту защиты вреда в виде деструкции, дисфункции, ухудшения условий эксплуатации его объектом безопасности.

Примеры

• Защищаем квартиру, чтобы обеспечить безопасность человека.
• Защищаем информацию, чтобы обеспечить информационную безопасность владельца или третьих лиц.

Недопустимое для субъекта событие

ситуация, реализацию которой допустить нельзя, вследствие того, что объекту защиты может быть причинён фатальный вред.

Перечень утверждается Субъектом защиты (безопасности)

Примеры

Недопустимые события для организации

Для того, у кого нет резервной копии своего информационного ресурса, вирус-шифровальшик - недопустимое событие, потому что приведёт (может привести) к ликвидации корпортации. А для тех, у кого есть бэкап, это - нежелательной событие, но не фатальное.

Недопустимые события для государства

Компания Change Healthcare (США) 21-го февраля 2024 года столкнулась с инцидентом. Первоначально компания не признавала это проблемой ИБ и просто ссылалась на недоступность отдельных приложений, а потом и сетевых коммуникаций. Спустя 12 часов компания признала, что это инцидент кибербезопасности. Ожидалось, что нарушение работы сервисов продлится не менее одного дня. Но прошло уже больше 4-х дней, а компания все еще не восстановилась. В результате атаки по всей Америке начались перебои с поставкой лекарств через аптечные сети. Рейтинговое агентство Moody’s заявило, что эта атака негативно скажется на кредитном рейтинге UnitedHealth Group, в которую входит Change Healthcare. Сама пострадавшая компания пока никак не оценивает финансовые потери от данного 4-хдневного (пока) инцидента.

С точки зрения ИБ налицо серьезная проблема, результатом которой явился 4-хдневный простой информационных систем. Но так ли плохо о последствиях думает руководство компании? Возможно для них это не фатальное событие. Возможно, они застрахованы от него и страховка покроет все потери. А возможно и наоборот — за простои в поставках лекарств предусмотрены штрафные санкции от подрядчиков и клиентов, государство оштрафует компанию со своей стороны, акции группы компаний упадут, а кредитный рейтинг UnitedHealth Group, и правда, будет снижен. И вот тогда это может стать недопустимым событием (не сам собой, а его последствия).

Дополнительно

ФСТЭК Российской Федерации

• “Методический документ. Методика оценки угроз безопасности информации” (утв. ФСТЭК России 05.02.2021)
• Перечень негативных последствий

Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации

• Методические рекомендации по формированию перечня недопустимых событий для обеспечения непрерывности операционной деятельности организаций при выполнении показателей оперативного рейтинга эффективности и результативности ответственных за цифровую трансформацию

Positive Technologies

• Как сформировать перечень недопустимых событий, Что такое недопустимые события?

Уязвимость

место в системе, воздействие на которое с целью причинения системе вреда, требует меньших усилий, чем воздействие с теми же целями на другие места системы.

Наиболее уязвимыми местами в системе могут быть:

• слабые элементы;
• слабые межэлементные связи.

Уязвимости могут иметь происхождение:

• естественное / искусственное;
• случайное / закономерное;
• преднамеренное / непреднамеренное.

Ущерб

видовое понятие, входящее в объём понятия деструкция, а вред – понятие родовое, в объём которого входят все виды вреда – и материального, и морального.

Примечание. Термин, часто используемый как синоним термина вред, что с т. зр. методологии является грубой ошибкой – отождествление части и целого.

см. Основные понятия теории безопасности

Угроза

обещание субъекта и/или демонстрация объектом/субъектом возможности причинить вред человеку (антропной системе).

Примечание. Обещание может исходить только от субъекта! Но вред может причинить не только субъект, но и объект. Угроза всегда предметна и адресна, т.е. исходит от предмета (субъекта или объекта) и направлена в адрес конкретного субъекта.

Никто и никогда не угрожал объекту – предмету или его качеству, и, тем более, его безопасности! Поэтому «угроза предмету», а тем более «угроза безопасности» – это абсурд!

Источники угроз или источники опасности

Угроза может быть:

• реальной / виртуальной;
• реализуемой / нереализуемой.

Источники угроз:

• люди (антропос) - антропогенные угрозы;
• техника (технос) - техногенные угрозы;
• природа (фюзис) - фюзиогенные угрозы.

Источники возможных деструктивных воздействий (угроз)

Виды возможного воздействия:

• механическое
• энергетическое
• информационное

Примечание. Чисто механического, чисто энергетического или чисто информационного воздействия не бывает никогда! Любое воздействие всегда носит комплексный (механическо-энергетическо-информационный) характер. Корректно говорить о преимущественном виде воздействия.

Основными характеристиками угрозы являются:

1. вероятность реализации;
2. размеры ущерба, который может быть причинен в случае ее реализации.

Классификация угроз:

1. с позиции онтологии (как есть): объектные (исходящие от объектов неживой природы) / субъектные (исходящие от человека или человеческих объединений, т.е. субъектов);

• антропогенные, т.е. исходящие от человека;
• техногенные, т.е. исходящие от технических средств;
• природные.

2. с позиции гносеологии (как познаем и что знаем):

• явные (видимые, артикулируемые);
• скрытые (латентные, не проявленные).

3. с позиции аксиологии (как относимся): существенные (т.е. могущие в случае их реализации нанести с точки зрения оценивающего ситуацию субъекта серьезный ущерб объекту воздействия) / несущественные (т.е. те, которые, по мнению оценивающего субъекта, либо не могут причинить вреда, либо вред будет незначительным, допустимым).

Защищаться от большинства угроз, практически, нет необходимости, ибо они так и остаются угрозами и никогда не перейдут из категории «возможное» («потенциальное») в категорию «действительное» («актуальное»), т.е. никогда не будут реализованы. Те же из них, которые все же начинают претворяться в реальную действительность, становятся уже не угрозами («обещаниями» причинить вред, т.е. воздействием информационным), а действием (воздействием физическим).

Примечание. В современном тезаурусе в области безопасности (особенно информационной) есть такие термины, как «угроза безопасности», «модель угроз», «модель нарушителя» и им подобные, которые являются идиомами (идиоматическими оборотами) и свидетельствуют о методологической безграмотности и их авторов, и тех, кто эти термины употребляет.

Почему?

Потому что:

• Безопасности никто и никогда не угрожал. Угрожают всегда и только субъекту!
• Угроза – это обещание/возможность причинить вред. Как смоделировать обещание/возможность?
• Нарушитель – это тот, кто уже что-то нарушил. Модель нарушителя строят по имеющимся фактам для того, чтобы найти этого нарушителя, но не того, кто ещё ничего не нарушил. Возможно (но не нужно) строить Модель потенциального нарушителя. Но делать это должен регулятор!

см. Чему угрожают: информации или ее безопасности?, Источники угроз, Основные понятия теории безопасности

Вызов

это воспринятое и осознанное субъектом явление (изменение состояния окружающей среды), требующее от него некоторой реакции.

Реакция может быть:

• своевременной / несвоевременной
• адекватной / неадекватной

Несвоевременная и/или неадекватная реакция на вызов может привести к причинению субъекту вреда!

Вызов – всегда явление! Т.е. проявленное (ставшее явным) событие, воспринятое и осознанное субъектом.

см. Информационные вызовы, риски и угрозы

Атака

• единичное воздействие на объект с целью причинения ему вреда;
• реализованная (реализуемая) угроза.

Нападение

совокупность согласованных по месту и времени действий, направленных на причинение объекту вреда.

Примечание. И объектом, и субъектом нападения может быть только биологическая система! Никто и никогда не говорит «молния напала на человека» или «пожар напал на ООО «Рога и копыта» и т.п. Но: «удав напал на кролика», «экстремисты напали на мирных граждан»…

Субъектом атаки также всегда является биологическая система, но объектом атаки может быть и физический объект, принадлежащий биологической (антропной) системе: «Враг атаковал склад боеприпасов», «рота атаковала высоту “Х”», «хакеры атаковали ИС/АС ООО «Рога и копыта»»…

Опасность

имя (наименование), присваиваемое ситуации, при которой, по мнению оценивающего ситуацию субъекта безопасности или субъекта защиты, может быть причинён существенный вред объекту безопасности.

Опасность – это производная отношений объекта безопасности с объектами внешней среды и компонентов, из которых он состоит / ситуация, при которой объекту может быть причинён вред в размере, превышающем субъективно установленный оценивающим ситуацию субъектом предел.

Примечание. Любой объект (субъект) в реальной действительности всегда находится в ситуации, когда ему может быть причинен вред, то есть в опасности. Но в жизни мы обладаем неполным и не всегда достоверным знанием о существующих и могущих возникнуть угрозах и рисках, вероятности их реализации и размерах возможно причиненного вреда. А те, о которых знаем, оцениваем исключительно субъективно, как правило, основываясь на предшествующем опыте, спекулятивных рассуждениях и умозрительных представлениях.

Познающий субъект (т.е. мы с вами) оценивает не реальную действительность, а знание о ней. А часто в своих оценках познающий субъект исходит даже не из анализа знания (неполного и субъективного), а из анализа собственных чувств и эмоций, испытываемых по поводу этого знания. В результате «опасность» проявляется как «чувство страха», «ощущение опасности», т.е. как сущности психические, но не гносеологические (т.е. обусловленные знанием) и тем более онтологические (т.е. реально существующие).

Возможные варианты оценки ситуации

1. Субъект сам оценивает ситуацию, в которой находится. Результат – генерируемый модус безопасности.
2. Субъект оценивает ситуацию, в которой находится другой субъект (объект), и проецирует результаты такой оценки на него. Результат – проецируемый модус безопасности.
3. Субъекту навязывается оценочное мнение о ситуации извне (которое может не соответствовать действительности). Результат – индуцированный модус безопасности.

см. Определения понятий «опасность» и «безопасность», Что такое опасность и безопасность?

Информационная опасность

ситуация, при которой может быть причинен недопустимый, с точки зрения оценивающего ситуацию субъекта безопасности или субъекта защиты, вред:

1. информационной инфраструктуре;
2. средствам обеспечения функционирования информационной инфраструктуры;
3. информационным ресурсам объекта безопасности.

В информационной сфере опасность для человека представляет причинение вреда в виде:

• формирования искажённой картины мира и неправильной методологии его исследования;
• затруднения и/или искажения самоидентификации;
• навязывания социально-негативных целей и ценностей;
• формирования асоциальных моделей поведения.

Безопасность

имя (наименование), присваиваемое ситуации, при которой, по мнению оценивающего ситуацию субъекта безопасности или субъекта защиты, не может быть причинён существенный вред объекту безопасности.

Безопасность – это без-опасность – ситуация, когда нет опасности, т.е. опасность первична, безопасность – вторична!

Примечание. “Безопасность” не существует сама по себе, без указания объекта, безопасность которого требуется обеспечить. Выбор объекта безопасности не только делает само понятие определённым, но в известной степени и предопределяет содержание работ по её обеспечению.

Очень часто безопасность отождествляют с устойчивым развитием и стабильностью и трактуют неустойчивое развитие и дестабилизацию как угрозу. С точки зрения методологии это – грубая ошибка! Любое движение сопряжено с опасностью и чем выше скорость движения (развития), тем выше уровень опасности! Стабильность рано или поздно приводит к стагнации, а стагнация – это смерть!

На свете нет ни яда, ни противоядия. Тем и другим всё делает доза! Дестабилизация становится угрозой только тогда, когда управляющее воздействие превышает параметры устойчивости системы и/или превращается в норму!

Безопасность не может быть состоянием, потому что состояние – это «СОвместное СТОЯНИЕ» элементов системы здесь-и-сейчас (расположение элементов системы, в конкретный момент времени), которое описывается набором определённых параметров. Состояние – постоянно меняющаяся характеристика (фаза) генезиса (бытия) материального объекта.

Состояние – фаза (мгновенный срез процесса) существования (бытия) предмета, описываемая набором параметров. Например, болезнь – состояние биологического организма, описываемая набором параметров: температура, пульс, давление, состояние кожных покровов, тургор кожи и др.

В природе (онтологически) нет ни опасности, ни безопасности. Есть только изменяющаяся в пространстве и времени материя.

Безопасность – категория аксиологическая, т.е. оценочная. А мерой всех вещей, т.е. источником, носителем и потребителем оценок является человек. И оценку он осуществляет, в первую очередь, относительно себя. Так он – человек – устроен. Кстати, не только человек. Всё живое борется за своё выживание, но только человек может поставить (и ставит) задачи сохранения, например, информации выше (или вместо) задачи сохранения жизни и здоровья человека (в т. ч. психического).

Обозначение ситуации – ОПАСНОСТЬ / БЕЗОПАСНОСТЬ – производится:

1. интуитивно – как проявление чувства страха или ощущения опасности / безопасности
2. когнитивно – в результате анализа знаний и/или представлений субъекта о:

• количестве и видах угроз (реальных или виртуальных);
• вероятности реализации каждой из угроз и нападения в целом;
• размерах ущерба, который может быть причинён в результате реализации каждой угрозы;
• степени устойчивости объекта безопасности к деструктивным воздействиям (атакам);
• способности объекта избегать нападений и предотвращать появление и реализацию угроз;
• степени надёжности системы защиты;
• способности объекта безопасности к самовосстановлению и размеров затрат, необходимых для ликвидации последствий нападения.

Задача обеспечения безопасности объекта

в содержательном плане включает в себя в неразрывном единстве три компонента:

1. удовлетворение потребностей объекта безопасности (обеспечение жизнеспособности для биологических систем, обеспечение работоспособности для технических систем, обеспечение целостности для неорганических систем);
2. создание и поддержание безопасной для объекта безопасности окружающей среды (обеспечение жизнедеятельности);
3. защита объекта безопасности от деструктивного воздействия.

Совокупность действий по обеспечению безопасности объекта

1. Определение объекта безопасности, конкретизация составных частей (элементов) его структуры, обладающих относительной самостоятельностью в структурном и функциональном плане.

Например: «объект безопасности» - государство. Элементы структуры: «территория», «население», «власть». Следовательно, «безопасность государства» = «военная безопасность» + «национальная безопасность» + «социальная безопасность».

2. Выявление «источников угроз»:

• объекты/субъекты;
• внутренние/внешние;
• естественные (природные)/искусственные (техногенные) и т.п.

3. Мониторинг элементов и сфер деятельности объекта, на которые может быть направлено деструктивное воздействие (совершено нападение).
4. Анализ возможных средств и методов реализации угроз.
5. Прогнозирование возможного ущерба от реализации угроз.
6. Ранжирование угроз по степени опасности (с учетом вероятности их реализации и размеров возможно причиненного ущерба).
7. Разработка мероприятий по противодействию угрозам.

Противодействие может осуществляться следующими способами:

• внешним угрозам: уклонением от нападения; блокированием угроз, вплоть до уничтожения их источника; парированием атак;
• внутренним угрозам: профилактикой; локализацией источника, вплоть до его устранения;
• повышением устойчивости к деструктивным воздействиям (выработкой иммунитета).

8. Реализация разработанных мероприятий по противодействию.
9. Контроль эффективности принятых мер.

см. Анализ математического аппарата и методов, применяемых для оценки безопасности объектов информатизации, Диалектика безопасности, Методология безопасности, Исходные понятия теории безопасности, Что такое опасность и безопасность?

Топология безопасности

Список видов безопасности антропных систем в их иерархической последовательности:

1. Экологическая
2. Продовольственная
3. Энергетическая
4. Экономическая
5. Политическая
6. Психическая
7. Консциентальная

Топология безопасности

см. Топология безопасности

Риск

атрибут деятельностного акта, в результате которого, субъекту, его совершающему, может быть причинён вред.

Примечание. Рисковать – значит совершать действие, которое может привести к причинению действующему вреда. Существование риска обусловлено наличием неопределённости результата деятельности, невозможностью однозначного предсказания конечного результата

Риск может быть:

• оправданным / неоправданным
• допустимым / недопустимым

Наиболее вероятный ущерб (и, как правило, наибольший) социальному субъекту может быть причинён в результате его собственных действий или, иначе, риска, т.е. действий субъекта в условиях неопределённости и непредсказуемости результатов.

От совершения им своего поступка никто не может защитить, кроме самого субъекта, который в данном случае выступает и в роли объекта безопасности. Постараться предупредить – да, убедить – да, но уберечь – нет! От подавляющего большинства угроз не сможет защитить никакая полиция, ФСБ, прокуратура, ФСТЭК и, тем более, Роскомнадзор, даже вместе взятые. Почему? Да хотя бы потому, что их нет и не может быть там, где есть опасность.

К каждому субъекту не приставишь по пожарной машине, машине скорой помощи, милиционеру или специалисту Роскомнадзора. Именно поэтому главный метод борьбы с любыми угрозами – избегать их. «Предотвращенная схватка – выигранная схватка» - говорили древние китайские мастера боевых искусств.

Источники риска

субъекты, принимающие решения и совершающие действия.

Информация

1. онтологически – форма и деформации;
2. гносеологически – содержание и результат коммуникации (взаимодействия материальных объектов);
3. аксиологически – ресурс, который может быть использован как во благо, так и во вред человеку;
4. праксиологически – средство, необходимое для целеполагания и целедостижения (сырьё, средство производства и продукт деятельности – из информации при помощи информации производится информация).

Высший вид информации – СОЦИАЛЬНАЯ.

Социальная информация выполняет функции:

• коммуникативную, т.е. является наиболее эффективным средством социальной коммуникации;
• дескриптивную, т.е. является средством выражения, хранения и передачи знания, получаемого человеком в результате реализации им познавательной функции

СОЦИАЛЬНАЯ ИНФОРМАЦИЯ необходима человеку (антропной системе) для:

1. формирования картины мира - Где Я?
2. самоидентификации - Кто Я?
3. определения целей деятельности - Зачем? (Для какой цели?)
4. достижения выбранных целей - Как? (Каким образом?)

Конечным потребителем и пользователем информации в социуме вне зависимости от сферы ее существования – гуманитарной или технической – является человек.

Общая схема коммуникации

Информация ему необходима для реализации двух жизненно важных функций:

1. адаптации к окружающей среде и
2. деятельности.

Что касается деятельности, то здесь информация является и исходным материалом, и основой технологии ее обработки, и конечным результатом, поэтому удовлетворение потребности субъекта в информации есть необходимое условие его выживания.

Классификация информации

см. АГАСОФИЯ ИНФОРМАЦИИ, Физическая природа информации, Социальная информация

Свойства информации

1. дуализм - способность оказывать воздействие одновременно и на сознание и на психику;
2. амбивалентность - способности содержать одновременно и истину и ложь;
3. амфотерность - способность оказывать на одного и того же субъекта, находящегося в различных состояниях, или на различных субъектов разное воздействие.

Как известно любое управление есть определенная деятельность, совершаемая субъектом управления (управляющей системой) по отношению к объекту управления (управляемой системе), с тем, чтобы обеспечить его движение к заданной цели. Управление осуществляется субъектом управления путем трансляции пакетов информации. Объект управления принимает эту информацию и перерабатывает в решения и, в конечном итоге, действия. Таким образом, информация, поступающая на вход информационной системы, является исходным материалом для подсистемы принятия решения и, следовательно, непосредственно определяет поведение системы. Одновременно информация влияет и на состояние системы. Это свойство информации – одновременно воздействовать и на поведение системы и на ее состояние – называется дуализмом. Наличие у информации такого свойства позволяет, как непосредственно управлять системой, так и управлять состоянием системы. И в первую очередь это относится к человеку.

Последствия любого информационного воздействия практически невозможно оценить в реальном масштабе времени. Результат всегда проявляется с некоторой задержкой, то есть имеет «отложенный» характер.

Любой информационный поток, блок информации, отдельный сигнал, принимаемый системой, может содержать одновременно достоверную (истинную) информацию и недостоверную (ложную). Свойство информации содержать одновременно и истину и ложь называется амбивалентностью (от лат. ambo - оба и valentia – сила). Это свойство информации широко используется, например, средствами массовой информации, когда они, подавая по большей части достоверную информацию, «сдабривают» ее вкраплениями лжи, которая читателями / слушателями / зрителями воспринимается как достоверная.

В результате под амфотерностью информации предлагается понимать способность информации вызывать у разных информационных систем или у одной и той же системы, находящейся в различных состояниях, разные реакции. Можно добиться выполнения информационной системой, будь то человек или компьютер, нужных управляющей системе (субъекту управления) реакций. Заложив в информационную систему нужные программы ее будущих действий (бездействий), замаскировав их под безобидные сообщения или пристегивая «граммы лжи к тоннам правды», приводя систему в нужное состояние, формируя соответствующим образом сообщения, и запуская их именно в тот момент, когда система будет больше всего готова выполнить именно ту, которая требуется, управляющая система (субъект управления) заставляет действовать управляемую систему (объект управления) в своих интересах, оставаясь при этом «в тени» и сохраняя у управляемой системы (объекта управления) иллюзию полной свободы действий. Именно поэтому средства коммуникации генерирующие, трансформирующие, дозирующие и транслирующие информацию становятся главными инструментами влияния как на технические, так и на социальные системы. Их владельцы, доводя до информационных систем нужную информацию в нужное время, приводят их в нужное состояние и, в итоге, добиваются совершенно определенных (нужных им) реакций.

Примечание. Конфиденциальность, целостность, доступность – не свойства информации!

Конфиденциальность и доступность – свойства системы распределения: этим даю, этим не даю. Эти т.н. свойства к самой информации не имеют никакого отношения. Причём наличие конфиденциальности и доступности в одном перечислении (классификации) – признак полнейшей методологической безграмотности. Это – пересекающиеся множества: «конфиденциальность» – доступность для некоторых, «доступность» – доступность для всех.

Нарушение доступности – некорректный с точки зрения правил русского языка термин. Это же относится и термину «блокирование информации». Нарушить доступность или блокировать информацию нельзя. Термины типа «блокирование информации» или «нарушение доступности» – это «идолы рынка» (Ф. Бэкон), то есть выражения обыденной речи, неуместные в научной и профессиональной литературе. Блокирование – это противодействие, предотвращение действия. Можно блокировать доступ к информации, но не информацию, нарушить установленные правила доступа, права доступа, порядок доступа, но не доступность.

Целостность – свойство носителя информации, ненарушенность его формы, что к информации тоже не имеет никакого отношения.

см. О свойствах информации, обуславливающих существование феномена информационной опасности, Физическая природа информации, Социальная информация

Носитель информации

материальный объект, на (в) котором может быть размещена информация. Понятие “носитель информации” является родовым по отношению ко всем материальным объектам, так как любой материальный объект может быть (и по факту является) носителем информации.

1. Носитель информации – человек. Огромное количество информации записано и хранится в нейронах его мозга. Получается, что человек должен трактоваться как информационный объект. Получается, что человек выступает одновременно в двух ипостасях: и как информационный объект и как информационный субъект! В какой ипостаси рассматривать человека – в качестве информационного объекта или информационного субъекта – будет зависеть от конкретной ситуации и задач анализа.

2. Носитель информации – воздух. В этом случае информационный объект – акустическая волна, созданная голосовыми связками человека или техническим устройством и модулированная информативным сигналом. Такой объект нельзя ни продать, ни подарить. Правда, можно уничтожить, создав акустические помехи. Одно очевидно, что это настолько специфический объект, что его перемещение в социуме если и должно регулироваться законодательством, то только специально для этого разработанным.

Примерно так же обстоят дела с информацией, передаваемой при помощи электрических, электромагнитных, оптических и т.п. сигналов.

3. Носитель информации – предмет, с нанесенной на него символьной информацией в доступном для восприятия человеком виде:

• книги,
• рукописи,
• берестяные грамоты,
• глиняные таблички,
• свитки,
• списки и т.д. и т.п.

4. Носитель информации – предмет, с нанесенной на него информацией в машинных кодах, т.е. в недоступном для непосредственного восприятия человеком виде: магнитные диски, дискеты, ленты, электронные и электронно-оптические носители информации и т.д.

Информационные объекты данного вида подразделяются на два подвида:

1. содержащие смыслосодержащую информацию в машинных кодах;
2. содержащие машинно-кодовую информацию в машинных кодах.

Информационный объект

совокупность носителя информации и содержащейся на нём информации в семантических[1] или машинных кодах.

[1] Правильнее было бы «антропных», т.е. «человеческих» (ещё лучше – «человечьих») кодах: машинные коды тоже, в некотором плане, семантические. И получается, что семантические и машинные коды – пересекающиеся множества, а антропные и машинные – нет.

Информационный ресурс (субъекта)

это совокупность информационных объектов, находящихся в распоряжении субъекта.

Примечание. Информационный ресурс – это не только документы и массивы документов в информационных системах. Это и разговоры на производственную тему, и отходы производства, и карты, схемы, чертежи, служебные записки, «четрертушки» с резолюциями и т.д. и т.п. В то же время никому не придёт в голову подвести под определение «информационный ресурс предприятия» «трёп» сотрудников в курилке или частные разговоры по служебному телефону. Но разговор в кафе на производственную тему вполне под него подпадает.

Информационная безопасность субъекта

есть ситуация, при которой его

1. информационной инфраструктуре,
2. информационной функции (коммуникациям) и
3. информационным ресурсам не может быть причинён существенный вред

Объекты информационной безопасности – антропные системы:

• человек (состав: тело, психика, сознание);
• корпорация (активы, персонал, руководство);
• государство (инфраструктура, население, власть).

Цель обеспечения информационной безопасности субъекта

предотвратить (минимизировать) причинение вреда субъекту путём информационного воздействия на него и/или деструктивного воздействия на информационные ресурсы, необходимые для формирования у него корректного мировоззрения и корректной методологии.

Примечание. Человек переживает:

• когда у него пропадает важный документ;
• когда он не может оформить пенсию из-за того, что нерадивый кадровик не сделал в его трудовой книжке соответствующую запись или сделал её неправильно и пенсионный фонд отказывается признать её достоверность;
• когда он не может найти нужную информацию, необходимую ему для принятия жизненно важного решения;
• когда его приватная переписка стала достоянием общественности, в результате чего у общественности изменилось к нему отношение с положительного на крайне отрицательное и он потерял и уважение, и доходы и т.д. и т.п.

Получается, что информацию нужно защищать для того, чтобы избавить от неприятностей человека, которые могут случиться в результате какого-либо происшествия с нужной или важной для него информацией.

Защищать информацию ради информации просто глупо. Поэтому, когда заходит речь о защите информации, всегда надо помнить, что главная цель этой деятельности – защита от возможных неприятностей человека! Человек – объект безопасности, а информация – объект защиты.

Обеспечение информационной безопасности субъекта

представляет собой совокупность взаимосвязанных, но операционально различных задач:

1. удовлетворение потребностей в информации;
2. защита от деструктивных информационных воздействий;
3. обеспечение безопасности собственных информационных ресурсов;

Рассмотрим каждую из задач.

Удовлетворение потребностей в информации

первейшая и важнейшая задача в деле обеспечения существования любого субъекта. Не будет информации – не будет и субъекта (человек есть продукт общества)! При этом нужна не любая информация, а только та, которая обеспечит принятие правильных решений. Для этого она должна отвечать т.н. принципу «3Д», т.е. быть достоверной, доступной и достаточной.

Достоверность информации

лучше не иметь никакой информации, чем иметь ложную. Ложная информация однозначно приводит к принятию неверного решения и в итоге к гибели системы.

Способы обеспечения:

1. применение различных способов верификации поступающей информации;
2. использование доверенных источников информации и надежных каналов ее трансляции.

Доступность информации

мало, чтобы информация существовала, она должна быть представлена в понятных индивиду семантических кодах (семантическая доступность), доступна физически (доступна к восприятию) и тогда, когда она ему необходима.

Способы обеспечения:

1. применение технологий, позволяющих осуществить доступ к нужной информации в любое время (создание библиотек социально значимой информации);
2. разработка и использование надёжных интерпретаторов информации;
3. обучение эффективным методам поиска и потребления релевантной информации.

Достаточность информации

нет необходимости (целесообразности) собирать всю информацию по проблеме, чтобы принять верное решение.

Способы обеспечения:

1. разработка алгоритмов принятия решений, требующих минимального количества исходных данных (мудрость);
2. получение возможно большего количества исходных данных (знания).

Защита от деструктивных информационных воздействий

см. ГУМАНИТАРНЫЕ АСПЕКТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Защита информационных ресурсов (обеспечение кибербезопасности)

см. Кибербезопасность

см. О необходимости философского обоснования проблемы информационной безопасности, Что такое информационная безопасность?

Информационная война

это разновидность противоборства социальных систем, в ходе которого осуществляется воздействие на сознание противника с целью уничтожения определённого типа сознания.

Сам носитель сознания (в случае успешного «перепрограммирования») может не подвергаться уничтожению.

Сунь-цзы сказал: по правилам ведения войны наилучшее — сохранить государство противника в целости, на втором месте — сокрушить это государство. Наилучшее — сохранить армию противника в целости, на втором месте — разбить ее. Наилучшее — сохранить бригаду противника в целости, на втором месте — разбить ее. Наилучшее — сохранить батальон противника в целости, на втором месте — разбить его. Наилучшее — сохранить роту противника в целости, на втором месте — разбить ее. Наилучшее — сохранить взвод противника в целости, на втором месте — разбить его. Поэтому сто раз сразиться и сто раз победить — это не лучшее из лучшего; лучшее из лучшего — покорить чужую армию, не сражаясь.

(Сунь-цзы - китайский стратег и мыслитель, живший в VI веке до н. э. Автор трактата о военной стратегии «Искусство войны»)

Информационная война и кибервойна

см. Информационная война: экспликация понятия

Система

совокупность компонентов, коммуникаций, контента, образующих отграниченную от окружающей среды структурную и функциональную целостность.

см. Методология защиты информационных ресурсов

Информационная система

совокупность компонентов, коммуникаций, контента, образующих отграниченную от окружающей среды целостность, выполняющую функцию обработки, хранения и трансляции информации.

Это определение максимального уровня обобщения, оно не имеет прикладного значения. Чтобы применить его на прикладном уровне, необходимо конкретизировать объект, о котором идет речь (например – информационная система ООО «Рога и копыта»). Тогда компонентами этой системы будут и люди, и телефоны, и канцелярия, и архив, и информационно-телекоммуникационная система предприятия (если таковая имеется), и много чего еще.

В рамках предприятия может быть только одна информационная система! Она состоит из подсистем, решающих отдельные задачи: управление отдельными технологическими процессами и даже отдельными станками, бухгалтерского учета и планирования экономической деятельности, учета финансово-хозяйственной деятельности и кадровой работы, и т. д. и т. п. Все это – не отдельные информационные системы, а всего лишь подсистемы одной системы. Они даже могут быть отграничены внутри предприятия функционально, но структурно вычленить их в отдельную сущность невозможно. Предприятие (организация, учреждение) – юридически закрепленная структурная и функциональная целостность. Это – единый организм, у которого есть единая информационная система, в состав которой может входить на правах подсистемы информационно-телекоммуникационная система (ИТКС) предприятия или компьютерная система обработки информации (КСОИ) предприятия. Назвать такие системы можно по-разному, но и состав у этих систем будет разным. Кроме того, у каждого предприятия будет своя уникальная информационная система. Компоненты, коммуникации, а, главное, контент при общей похожести всегда будут отличаться и подходить к их защите с едиными мерками, по меньшей мере, недопустимо. Общими могут быть принципы защиты и нормы, но не технологии и средства защиты.

Становится также очевидным, что не может быть ни на предприятии, ни вообще в принципе, таких, например, систем, как информационные системы персональных данных (ИСПДн). Ни у юридических, ни у физических лиц нет такой функции – обработка персональных данных. Ее не существует в принципе, даже в ЗАГСах. Есть функция – расчет заработной платы работников. Для реализации этой функции на предприятии создается ИТКС «1С-зарплата», в которой в обязательном порядке используются данные о работниках предприятия (не персональные данные, а данные о работниках). Есть функция – управление предприятием. В целях реализации этой функции издаются приказы, в которых присутствуют некоторые данные о работниках предприятия. В целях автоматизации выполнения этой функции на предприятии создается ИТКС «Система электронного документооборота». И таких примеров можно привести множество, но, думаю, и этих достаточно для того, чтобы показать, что нет и не может (не должно) быть таких информационных систем, как ИСПДн. Система – только то, что может быть отграничено от окружающей среды структурно и функционально! То, что сегодня трактуется как ИСПДн, структурно отграничить (то есть провести четкую демаркационную линию) от других компонентов информационной системы ни в рамках юридического лица, ни в рамках физического лица невозможно!

В общем виде:

Компоненты – средства обработки, отображения, трансляции, хранения информации и средства обеспечения их функционирования.

Коммуникации – каналы приёма-передачи (трансляции) информации.

Контент – информационные ресурсы, хранящиеся в компонентах системы и транслируемые по соединяющим их каналам коммуникации.

Причинение значимого вреда и/или некорректное использование любой из перечисленных выше составляющих информационной системы приводит к причинению вреда их владельцу и/или третьим лицам и потому расценивается как опасность.

Поэтому компоненты информационной системы, каналы коммуникации, контент подлежат защите.

Свойства системы:

1. структурная отграниченность;
2. функциональная отграниченность от предметов окружающей среды.

Система может быть:

• с контролируемым доступом;
• с неконтролируемым доступом.

«Открытая система» – не есть система по определению понятия «система». «Закрытая система» – мёртвая система.

см. Информационная система как объект защиты, Методология защиты информационных ресурсов

Киберсистема

подвид, составная часть информационной системы,

совокупость:

• компонентов – киберустройств (компьютеры, датчики, исполнительные устройства);
• коммуникаций – линий связи (проводных, оптоволоконных, радиочастотных);
• контента – ПО, ППО, СПО, образующих отграниченную от окружающей среды структурную целостность, и функциональную цельность, предназначенную для обработки, трансляции и хранения информации в машинных кодах.

Объекты кибербезопасности (информационно-кибернетические системы)

• компьютерные системы;
• информационно-телекоммуникационные сети;
• средства обеспечения функционирования ИС/ИТКС.

Кибербезопасность

ситуация, при которой киберсистемам и киберустройствам не может быть причинен существенный, с точки зрения их владельца вред в виде деструкции (разрушения, выведения из строя элементов системы и системы в целом), дисфункции (нарушения функционала) и дискомфорта (ухудшения условий эксплуатации):

• нарушения их работоспособности;
• перехвата управления;
• искажения/уничтожения обрабатываемых в них информационных ресурсов;
• кражи информационных ресурсов с целью их противоправного использования.

Виды вреда информационным ресурсам

Деструкция - нарушение или разрушение структуры информации.

1. частичная деструкция – нарушение структуры информации, затрудняющее восприятие информации в заданном смысловом контексте (такую деструкцию применительно к информации следует трактовать как искажение);
2. полная деструкция, которая, по сути, будет ее уничтожением. Последнее подразумевает не только, и не столько физическое уничтожение информации (это – частный случай), сколько перевод ее в такое состояние, при котором она перестает восприниматься информационной системой в заданном смысловом контексте, без возможности ее восстановления в первоначальном значении.

К категории угроз целесообразно отнести только некорректное уничтожение информации.

Дисфункция - нарушение функции (для информации – функциональности), то есть возможности ее использования.

Что может привести к нарушению функциональности или, иначе, нарушению условий циркулирования социальной информации?

1. установка некорректных условий доступа;
2. нарушение установленных условий доступа.

Дискомфорт

1. некорректная статусофикация информации;
2. неправомерное изменение статуса информации.

Защита информационных ресурсов от

• некорректного уничтожения, искажения;
• некорректного присвоения и некорректного нарушения установленного в соответствии с законом статуса;
• установления некорректных условий доступа и нарушений условий доступа, установленных в соответствии с законом.

Меры по защите информационных ресурсов / обеспечению кибербезопасности

• превентивные;
• реактивные;
• постинцидентные.

Направления деятельности по защите информационных ресурсов / обеспечению кибербезопасности

1. Снижение рисков:

• подбор и расстановка кадров;
• обучение и воспитание персонала;
• контроль персонала и посетителей;

2. Противодействие угрозам:

• укрепление системы;
• предотвращение нападения;
• защита (активная и пассивная);

3. Ликвидация последствий:

• оперативное восстановление;
• расследование инцидентов;
• совершенствование СЗИРП (системы защиты информационных ресурсов предприятия);

Частные методы защиты информационных ресурсов / обеспечения кибербезопасности

• управление доступом к объектам защиты (что? кому? когда? как?);
• обучение и воспитание персонала;
• контроль действий персонала и посетителей;
• повышение устойчивости объектов защиты к деструктивным воздействиям;
• выявление и санация источников угроз;
• оперативное реагирование на инциденты;
• создание резервов («горячих» и «холодных») и др.

Резервы:

• антропные (в т .ч. освоение смежных специальностей);
• технические (компоненты и коммуникации);
• программные (ПО и значимые информационные ресурсы).

Принципы построения системы защиты информационных ресурсов / обеспечения кибербезопасности

Адекватность:

• соответствие объекту – его размерам, виду деятельности, финансовым возможностям;
• соответствие внешним условиям – угрозам, возможностям злоумышленников, законодательству;
• соответствие настоящему моменту – своевременность, злободневность (актуальность).

Комплексность:

• учёт всех объектов и их свойств, подлежащих защите;
• охват всех этапов жизненного цикла объектов защиты;
• учёт всех актуальных на данный момент времени для данных объектов защиты и их свойств видов, способов и средств причинения вреда.

Системность:

• наличие подразделения, состоящего из квалифицированных работников, обладающих соответствующими компетенциями, имеющих в распоряжении необходимые технические и программные средства;
• наличие необходимых внутренних и внешних технических и социальных коммуникаций и статуса;
• наличие полного комплекта высококачественных руководящих и нормативно-методических документов, позволяющих осуществлять деятельность с достаточной эффективностью.

Средства защиты информационных ресурсов / обеспечения кибербезопасности

• антропные;
• технические;
• программные.

Антропные средства защиты информационных ресурсов = Субъекты защиты информационных ресурсов

Субъекты защиты информационных ресурсов:

1. Работник
2. Администратор ИС
3. Безопасник
4. Руководитель СБ
5. Топ-менеджмент
6. Директор
7. Владелец

Вариант классификации источников угроз информационных ресурсов государства

Вариант классификации источников угроз информационных ресурсов государства

Цель защиты информационных ресурсов субъекта

предотвратить (минимизировать) причинение вреда субъекту и/или третьим лицам в результате некорректного использования или деструктивного воздействия на информационную инфраструктуру и информационные ресурсы субъекта.

Алгоритм действий по обеспечению кибербезопасности предприятия

1. Ревизия ИТКС и определение степени конфиденциальности информационных ресурсов.

Разрабатывается/уточняется: «Структурная схема ИТКС», «Перечень информационных ресурсов», «Перечень ТСОХТИ», «Перечень ТСОФ ТСОХТИ».

2. Мониторинг элементов и процессов в ИТКС, деструктивное воздействие на которые или их некорректное использование/изменение может привести к причинению вреда предприятию.

Разрабатывается/уточняется: «Перечень объектов защиты».

3. Составление/уточнение перечня угроз и ранжирование их по степени опасности (с учётом вероятности их реализации и размеров возможно причинённого ущерба, в т.ч. и со стороны «регуляторов»).

Разрабатывается/уточняется: «Матрица угроз».

4. Анализ возможных средств и способов реализации угроз.

Разрабатывается/уточняется: «Модель потенциального нарушителя» (внутреннего и внешнего).

5. Разработка/модернизация проекта системы защиты ИРП.

Разрабатывается/уточняется: «Модель системы защиты ИРП».

6. Разработка плана работ по защите ИРП.

7. Реализация плана работ по защите ИРП.

8. Контроль эффективности принимаемых мер.

9. Модернизация системы защиты ИРП.

ПЕРВООЧЕРЕДНЫЕ ПРАВИЛА, соблюдение которых позволит повысить уровень безопасности информационных ресурсов (кибербезопасности) предприятия

1. При приёме на работу граждан применяются специальные методики проверки, в т. ч. уточняются обстоятельства предыдущей деятельности кандидатов.
2. Все сотрудники подписывают в качестве условия приёма на работу обязательство о неразглашении сведений, ставших известными им в ходе исполнения служебных обязанностей.
3. На предприятии разрабатывается и внедряется система защиты информационных ресурсов, обеспеченная соответствующим персоналом и ресурсами.
4. Проводится квалифицированный анализ угроз и рисков и разрабатывается руководство по защите информационных ресурсов, предусматривающее план экстренного реагирования и план ликвидации последствий возможных инцидентов.
5. Инструктажи (тренинги) всех работников по необходимости соблюдения мер безопасности проводятся как минимум раз в год (под роспись).
6. На каждом объекте разрабатывается и внедряется система разграничения доступа и контроля действий сотрудников и посетителей.
7. Доступ к информационным ресурсам (не только обрабатываемым при помощи СВТ) строго регламентируется. Все пользователи компьютерных систем должны иметь индивидуальные логины и пароли, которые периодически меняются. Работникам категорически запрещается работать под чужими реквизитами!
8. Сотрудникам категорически запрещается вносить несанкционированные изменения в программную среду ИТКС предприятия, а также выносить с территории предприятия носители служебной информации без разрешения руководства предприятия.
9. Все инциденты тщательно расследуются и результаты докладываются высшему руководству.
10. Эффективность СЗИР проверяется не реже одного раза в год.

см. Информационная система как объект защиты, Методология обеспечения кибербезопасности организации (ч.1), Методология обеспечения кибербезопасности организации (ч.1)

Кибервойна

процесс, в ходе которого осуществляются управляющие воздействия на технические средства обработки, хранения и передачи информации противника с целью их физического разрушения (деструкции) или нарушения работоспособности (дисфункции), а так же получения возможности управлять его информационными ресурсами.

см. Информационная война и кибервойна: сущность и соотношение понятий, Информационная война и кибервойна: сущность феноменов и соотношение понятий

Наука

вид деятельности по исследованию объективной реальности и формированию о ней достоверного (в идеале – истинного) знания.

Признаки научности: 1) предметность; 2) объективность; 3) логичность.

Методология

учение о целеполагании и целедостижении

Примеры схем

Реализация от DeepSeek

Схема, которая показывает связь между терминами: Угроза (обещание причинить вред) → Реализация угрозы (действие) → Возникновение вреда (деструкция, дисфункция, дискомфорт) → Причинение ущерба (материальная часть вреда).

flowchart TD
    A[УГРОЗА<br>Потенциальная возможность<br>Информационное воздействие<br>Пример: Письмо с обещанием<br>удалить данные] --> B
    
    subgraph B [РЕАЛИЗАЦИЯ УГРОЗЫ]
        B1[Внешнее воздействие<br>Физическое/энергетическое<br>действие] --> B2[Эксплуатация<br>УЯЗИВИМОСТИ<br>слабого места в системе]
    end

    B --> C{Объекту защиты<br>причинён ВРЕД?}
    
    C -->|Да| D[ВОЗНИКНОВЕНИЕ ВРЕДА]
    
    subgraph D [ВИДЫ ПРИЧИНЁННОГО ВРЕДА]
        D1[ДЕСТРУКЦИЯ<br>Нарушение целостности<br>Пример: Уничтожение файлов]
        D2[ДИСФУНКЦИЯ<br>Нарушение работы<br>Пример: Отказ сервиса]
        D3[ДИСКОМФОРТ<br>Ухудшение условий<br>Пример: Шантаж, удар по репутации]
    end

    D --> E[ПРИЧИНЕНИЕ УЩЕРБА<br>Материализовавшаяся часть вреда<br>Пример: Финансовые потери,<br>штрафы, затраты на восстановление]
    
    C -->|Нет| F[Инцидент предотвращён<br>Вред не причинён]

Комментарий к связям на схеме (стрелкам):

От «Угрозы» к «Реализации угрозы» (A → B):

Эта стрелка обозначает переход из потенциального в актуальное состояние. Угроза — это лишь «обещание» или «демонстрация возможности». Когда злоумышленник начинает реальные действия (атаку), происходит реализация угрозы, в этот момент информационное воздействие (угроза) сменяется физическим/энергетическим (действием).

Внутри «Реализации угрозы» (B1 → B2):

Эта связь показывает, что успешное вредоносное действие почти всегда требует эксплуатации уязвимости — слабого места в системе. Без уязвимости прямое воздействие может оказаться бесполезным или слишком затратным для злоумышленника.

От «Реализации» к решению о «Вреде» (B → C):

Критическая точка. Эта стрелка ведёт к логическому условию (ромб), которое отражает главный вопрос: атака достигла цели? Не всякая реализованная угроза автоматически причиняет вред. Защитные меры (обновления, бэкапы, системы обнаружения) могут предотвратить вред или минимизировать его.

От условия к «Возникновению вреда» (C → D):

Если защита не сработала, объекту причиняется вред в одной или нескольких формах. Здесь важно, что ущерб (материальные потери) — это лишь следствие и часть общего вреда. Стрелка ведёт к трем параллельным видам вреда, что показывает: вред может быть комплексным (например, деструкция данных + дисфункция сервиса + дискомфорт для клиентов).

От «Вреда» к «Ущербу» (D → E):

Эта стрелка иллюстрирует ключевой тезис: «Ущерб — видовое понятие, входящее в объём понятия вред». То есть ущерб (финансовые потери, затраты) — это материализовавшаяся, измеримая часть причинённого вреда.

Задания для самопроверки

• Объяснить разницу между объектом безопасности и объектом защиты на примере защиты квартиры для безопасности человека.
• Представьте, что вам нужно объяснить коллеге без технического бэкграунда, в чём разница между «объектом безопасности» (например, человек) и «объектом защиты» (например, его телефон). Приведите свой аналогичный пример.
• Объяснить, почему фраза “угроза безопасности” является методологической ошибкой (угрожают субъекту, а не абстрактной безопасности).
• Используя термины, проанализировать описанный в тексте инцидент с Change Healthcare: определить возможные объекты безопасности, виды причиненного вреда, субъектов защиты.
• Классифицировать возможные угрозы для организации по источникам (антропогенные, техногенные).
• Оценить, насколько классификация объектов безопасности (индивид/корпорация/государство) является полной и применимой в современном киберпространстве.
• На основе предложенной терминологии разработать методичку для не-технических сотрудников компании, объясняющую, почему безопасность — ответственность каждого.
• Проанализируйте, какие последствия для практики ИБ/КБ может иметь такая смена терминологии.

Беседы с Атамановым Г.А.

1. Знакомство
2. Кризис теории информационной безопасности
3. Что такое теория? Зачем нужна теория ИБ?
4. Что такое опасность и безопасность? [PDF]
5. Основные понятия теории безопасности [PDF]
6. Физическая природа информации [PDF]
7. Социальная информация [PDF]
8. Что такое информационная безопасность? [PDF]
9. Что такое методология? [PDF]
10. Методология обеспечения ИБ [PDF]
11. Методология обеспечения кибербезопасности организации (ч.1) [PDF]
12. Методология обеспечения кибербезопасности организации (ч.2) [PDF]
13. АГАсофия ИИ [PDF]
14. Агасофия познания (часть 1) [PDF]
15. Агасофия познания (часть 2) [PDF]