К угрозе информационной безопасности относится любая атака, направленная на незаконный доступ к данным. К угрозам также можно отнести нарушение цифровых операций или повреждение информации. Угрозы могут исходить от различных субъектов, включая конкурентов, хакеров, террористические группы, государства, преступные организации и даже сотрудников организации.
Неспособность организации внедрить технические средства защиты, например, шифрование и аутентификацию, приводит к риску раскрытия конфиденциальных данных. Злоумышленники могут использовать персональные данные человека или коммерческую тайну компании для кражи информации или получения доступа к критически важным данным.
Для того чтобы обеспечить должный уровень информационной безопасности, специалисты должны разбираться, как минимум, в следующих типах атак:
1. Вредоносное ПО
Вредоносное ПО — это программное обеспечение, обладающее деструктивным функционалом, такое как программы-шпионы, программы-вымогатели, вирусы и черви.
2. Отказ в обслуживании (DoS)
Отказ в обслуживании (DoS) — это тип атаки, при которой злоумышленники нагружают сеть большим количеством запросов, что приводит к невозможности воспользоваться сервисами целевой системы.
3. MITM (Man-in-the-Middle)
Атака MITM происходит, когда хакеры внедряются в двустороннее информационное взаимодействие. После перехвата трафика они могут фильтровать и красть данные.
4. Фишинг
Вымогатели используют поддельные сообщения, например, e-mail, чтобы обманным путем заставить получателя открыть его и выполнить определенное действие.
5. Внедрение SQL-кода
SQL — это атака, которая возникает в результате несанкционированного введения и исполнения вредоносного кода в сервер, использующий SQL.
Классификация угроз безопасности
Угрозы безопасности можно классифицировать по следующим признакам:
1. По источнику угрозы.
Источник угроз делят на 2 типа:
- источники угроз в самой системе;
- источники угроз вне системы.
Первые приводят к сбою работы системы и другим деструктивным последствиям из-за внутренних негативных факторов (инсайдеры, закладки и т.д.), а вторые нацелены на проникновение в систему или попытку ее дестабилизации из-за пределов контролируемой зоны.
2. По степени влияния угрозы.
Различают активную и пассивную угрозу безопасности. При активной угрозе злоумышленники используют различное вредоносное ПО и другие инструменты. Хакеры могут изменять настройки или состояние системы, чтобы добиться поставленной цели. При пассивной угрозе утечка информации происходит в результате действий или бездействия ИТ- и ИБ-специалистов (например, компрометация парольной информации).
3. По способу доступа к информации.
Зачастую доступ к информации бывает прямой или косвенный. При прямом доступе злоумышленники могут получить пароль от системы и замаскироваться под обычного пользователя. При косвенном доступе хакеры взламывают систему и проникают в нее незаконными способами.
Кроме этого, специалисты различают случайные угрозы, например, вмешательство неквалифицированного специалиста. К преднамеренным угрозам относят любые действия злоумышленников, направленные на получение информации и данных с целью дальнейшего использования.
Риски информационной безопасности организации
Задача специалистов по информационной безопасности — сделать так, чтобы атаки на информационную безопасность сводились к минимуму. Для этого необходимо классифицировать риски информационной безопасности и выявить степень и масштаб ущерба от потенциальной атаки. В целом все риски можно условно разделить на три категории.
1. Степень влияния на репутацию компании.
В этой категории все риски делятся на 4 возможных варианта:
- очень низкое влияние, отсутствие негативной реакции;
- низкое влияние, кратковременная негативная реакция;
- среднее влияние, негатив только у части партнеров и клиентов;
- высокое влияние, негатив у значительного числа партнеров и клиентов.
Размер материального ущерба, т.е. непредвиденные расходы и издержки.
Похожим способом разделяют и степень материального ущерба компании. К незначительным показателям относят небольшой ущерб, который легко ликвидировать. К умеренному ущербу относятся непредвиденные расходы, которые компания может себе позволить. Большой ущерб предполагает потерю дохода, значительные издержки. Самый тяжелый случай – критический ущерб, когда компания самостоятельно не может справиться с материальными расходами.
3. Вероятность наступления риска и возможного ущерба.
На основе анализа специалисты могут определить вероятность риска и возможного ущерба. Здесь также выделяется 4 категории.
- очень низкая вероятность, небольшой риск и незначительный ущерб;
- низкая вероятность, средний риск и умеренный ущерб;
- средняя вероятность, большой и риск, и ущерб;
- высокая вероятность, критический и риск, и ущерб.
После анализа рисков эксперты смогут разработать план действий, которые необходимо предпринять для ликвидации ущерба.
В последние годы российские компании становятся все более привлекательными для злоумышленников. Атаки становятся все более успешными, а их сценарии — более сложными. Компании часто не могут самостоятельно обнаружить цепочку атак. Они могут годами пребывать в иллюзии безопасности, считая вероятность риска минимальной.
Ситуация усугубляется, когда такие компании верят в надежность средств автоматизации безопасности и не проверяют надежность инфраструктуры. К сожалению, оценка безопасности показывают, что злоумышленники могут легко получить доступ к таким системам.