В качестве стандартной модели безопасности часто приводят модель из трёх категорий:
· конфиденциальность (англ. confidentiality)[6] — состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на неё право;
· целостность (англ. integrity)[7] — избежание несанкционированной модификации информации;
· доступность (англ. availability)[8] — избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.
Выделяют и другие не всегда обязательные категории модели безопасности:
· неотказуемость или апеллируемость (англ. non-repudiation)[5] — способность удостоверять имевшее место действие или событие так, что эти события или действия не могли быть позже отвергнуты;
· подотчётность (англ. accountability)[9] — обеспечение идентификации субъекта доступа и регистрации его действий;
· достоверность (англ. reliability)[5] — свойство соответствия предусмотренному поведению или результату;
· аутентичность или подлинность (англ. authenticity)[5] — свойство, гарантирующее, что субъект или ресурс идентичны заявленным.
В Государственном стандарте РФ[10] приводится следующая рекомендация использования терминов «безопасность» и «безопасный»:
Слова «безопасность» и «безопасный» следует применять только для выражения уверенности и гарантий риска.
Не следует употреблять слова «безопасность» и «безопасный» в качестве описательного прилагательного предмета, так как они не передают никакой полезной информации. Рекомендуется всюду, где возможно, эти слова заменять признаками предмета, например:
· «защитный шлем» вместо «безопасный шлем»;
· «нескользкое покрытие для пола» вместо «безопасное покрытие».
Для термина «информационная безопасность» следует придерживаться тех же рекомендаций. Желательно использовать более точные характеристики объектов, разделяемые как признаки понятия «информационная безопасность». Например, точнее будет использовать аргумент «для предотвращения угроз на доступность объекта» (или «для сохранения целостности данных») вместо аргумента «исходя из требований информационной безопасности».
Объём (реализация) понятия «информационная безопасность»
Системный подход к описанию информационной безопасности предлагает выделить следующие составляющие информационной безопасности[11]:
1. Законодательная, нормативно-правовая и научная база.
2. Структура и задачи органов (подразделений), обеспечивающих безопасность ИТ.
3. Организационно-технические и режимные меры и методы (Политика информационной безопасности).
4. Программно-технические способы и средства обеспечения информационной безопасности.
Ниже в данном разделе подробно будет рассмотрена каждая из составляющих информационной безопасности.
Целью реализации информационной безопасности какого-либо объекта является построение Системы обеспечения информационной безопасности данного объекта (СОИБ). Для построения и эффективной эксплуатации СОИБ необходимо[2]:
· выявить требования защиты информации, специфические для данного объекта защиты;
· учесть требования национального и международного Законодательства;
· использовать наработанные практики (стандарты, методологии) построения подобных СОИБ;
· определить подразделения, ответственные за реализацию и поддержку СОИБ;
· распределить между подразделениями области ответственности в осуществлении требований СОИБ;
· на базе управления рисками информационной безопасности определить общие положения, технические и организационные требования, составляющие Политику информационной безопасности объекта защиты;
· реализовать требования Политики информационной безопасности, внедрив соответствующие программно-технические способы и средства защиты информации;
· реализовать Систему менеджмента (управления) информационной безопасности (СМИБ);
· используя СМИБ организовать регулярный контроль эффективности СОИБ и при необходимости пересмотр и корректировку СОИБ и СМИБ.
Как видно из последнего этапа работ, процесс реализации СОИБ непрерывный и циклично (после каждого пересмотра) возвращается к первому этапу, повторяя последовательно все остальные. Так СОИБ корректируется для эффективного выполнения своих задач защиты информации и соответствия новым требованиям постоянно обновляющейся информационной системы.
