जोखिम और व्यापार-उन्मुख सूचना सुरक्षा के मूल तत्व: बुनियादी अवधारणाएं और प्रतिमान

इस प्रकाशन में, पाठकों को सूचना सुरक्षा के क्षेत्र में मूल नियमों और परिभाषाओं से परिचित कराने के लिए आमंत्रित किया जाता है, और सूचना सुरक्षा की अवधारणा और प्रतिमान पर भी विचार किया जाएगा। इस और बाद के प्रकाशनों में जानकारी आम तौर पर स्वीकृत रूसी और सूचना सुरक्षा के लिए दुनिया के दृष्टिकोण पर आधारित है।



सूचना प्रौद्योगिकी के विकास और आधुनिक राज्यों और कंपनियों की गतिविधि के लगभग सभी क्षेत्रों में उनकी व्यापक पैठ के साथ, सूचना सुरक्षा के मुद्दे महत्वपूर्ण हो जाते हैं: तथाकथित चौथी वैज्ञानिक क्रांति उच्च तकनीक सूचना प्रौद्योगिकियों के उपयोग के बिना अकल्पनीय है, जो सभी लाभों के साथ उनके साथ जुड़े जोखिमों को सामने लाते हैं, क्योंकि एक साथ प्रवेश के साथ। राज्यों, कंपनियों और आम नागरिकों के जीवन में आईटी विकास और सूचना सुरक्षा के लिए खतरों को बढ़ा रहा है।

सूचना प्रौद्योगिकी और सूचना संरक्षण के क्षेत्र में निरंतर विकास हो रहा है, साथ ही हमलावर स्वयं भी: यदि, 20 वीं शताब्दी के अंत तक, कंप्यूटर सिस्टम को हैक कर लिया गया था, तो एक नियम के रूप में, शैक्षणिक वातावरण से उत्साही उत्साही लोगों द्वारा निपटा गया, जो अवैध लाभ प्राप्त करने का लक्ष्य नहीं रखते थे और कंपनियों और नागरिकों के धोखे, वित्तीय रूप से प्रेरित हमलावरों की संख्या हर साल हाल ही में बढ़ रही है। इसके अलावा, आधुनिक साइबर स्पेस में, असली हैकर सेनाएँ विभिन्न देशों की सरकारों द्वारा संचालित, समर्थित और प्रायोजित होती हैं। वे अन्य राज्यों और बड़े निगमों के संसाधनों और बुनियादी ढांचे पर हमले करते हैं ताकि खुफिया जानकारी प्राप्त की जा सके और अक्सर, महत्वपूर्ण बुनियादी सुविधाओं या संपूर्ण उद्योगों को निष्क्रिय किया जा सके। इसी समय, राज्य नियामक दबाव भी बढ़ रहा है: सूचना की सुरक्षा और सूचना बुनियादी ढांचे के महत्व को महसूस करते हुए, लगभग सभी विकसित राज्य आधुनिक चुनौतियों को पूरा करने वाले विधायी मानदंडों को अपनाते हैं। इस प्रकार, आधुनिक सूचना सुरक्षा अत्यधिक कुशल हमलावरों, व्यापार और राज्य की आईटी आवश्यकताओं के साथ-साथ कानूनी विनियमन के "क्रॉसफ़ायर" पर है। इन परिस्थितियों में जीतने के लिए, सबसे पहले, एक ठोस नींव की आवश्यकता होती है, अर्थात् मुख्य घटना, शर्तों, साथ ही सूचना सुरक्षा की बहुत अवधारणा की स्पष्ट समझ।

शास्त्रीय अर्थों में सूचना के संरक्षण का अर्थ है, सूचना संसाधनों की अखंडता, गोपनीयता, पहुंच सुनिश्चित करना। इसके अलावा, सुरक्षा की स्थिति में सूचना के अतिरिक्त गुण गैर-प्रतिरूपण, प्रामाणिकता और जवाबदेही हैं।

सूचना सुरक्षा के लिए खतरा एक अवांछनीय सूचना सुरक्षा घटना के संभावित कारण के रूप में समझा जाता है जो संपत्ति को नुकसान पहुंचा सकता है और सूचना सुरक्षा की स्थिति का उल्लंघन कर सकता है; सूचना सुरक्षा घटना नामक एक संपत्ति की स्थिति में एक अनधिकृत परिवर्तन से पहले की घटना हो सकती है।

थ्रेट मॉडलिंग उन सभी खतरों की पहचान है जो परिसंपत्तियों को नुकसान पहुंचा सकते हैं और वैक्टर पर हमला कर सकते हैं जिनका उपयोग खतरे का कारण होने वाले स्रोतों से हो सकता है।

सूचना सुरक्षा जोखिम को संगठन की क्षति के लिए विशिष्ट खतरे के रूप में संपत्ति की कमजोरियों का उपयोग करने की संभावित संभावना के रूप में समझा जाता है। जैसा कि शास्त्रीय जोखिम प्रबंधन में, साइबर जोखिम को संभालने के निम्नलिखित तरीके हैं: उपेक्षा, स्वीकार, बचना, स्थानांतरण, कम से कम। कई मामलों में अंतिम, सबसे इष्टतम जोखिम उपचार पद्धति का चुनाव सूचना सुरक्षा प्रणालियों और उपकरणों के विकास और कार्यान्वयन से पहले होता है। उसी समय, जब परिसंपत्तियों की सूचना सुरक्षा सुनिश्चित करने के लिए विशिष्ट उपायों को चुनना और लागू करना, किसी को इन उपायों को लागू करने के लिए व्यापार कार्य के संदर्भ में इन उपायों को लागू करने की संपुष्टि द्वारा निर्देशित किया जाना चाहिए, परिसंपत्ति का मूल्य और भविष्यवाणी क्षति का परिमाण, साथ ही हमलावरों की संभावित लागत। आम तौर पर स्वीकृत दृष्टिकोण के अनुसार, सुरक्षात्मक उपायों की लागत परिसंपत्ति या अनुमानित क्षति की मात्रा से अधिक नहीं होनी चाहिए, और हमलावर के लिए हमले की अनुमानित उचित लागत इस हमले के कार्यान्वयन से अपेक्षित लाभ से कम होनी चाहिए।

किसी हमले के कार्यान्वयन से नुकसान प्रत्यक्ष या अप्रत्यक्ष हो सकता है। प्रत्यक्ष क्षति कंपनी का तत्काल स्पष्ट और आसानी से अनुमानित नुकसान है, जैसे कि बौद्धिक संपदा अधिकारों का नुकसान, उत्पादन रहस्यों का खुलासा, परिसंपत्तियों के मूल्य में कमी या उनके आंशिक या पूर्ण विनाश, कानूनी लागत और जुर्माना और मुआवजे का भुगतान, आदि। अप्रत्यक्ष क्षति का मतलब गुणवत्ता या अप्रत्यक्ष नुकसान हो सकता है। गुणात्मक हानि कंपनी की प्रभावशीलता में एक निलंबन या कमी हो सकती है, ग्राहकों की हानि, निर्मित वस्तुओं या सेवाओं की गुणवत्ता में कमी। अप्रत्यक्ष नुकसान हैं, उदाहरण के लिए, खोए हुए लाभ, व्यवसाय की प्रतिष्ठा का नुकसान, और अतिरिक्त खर्च।

सूचना सुरक्षा के लिए एक खतरा तब उत्पन्न होता है जब निम्न परस्पर जुड़े घटक होते हैं: खतरे का स्रोत, परिसंपत्ति की भेद्यता, जिस तरह से खतरा महसूस किया जाता है, जोखिम का लक्ष्य, और स्वयं हानिकारक प्रभाव। हम एक उदाहरण देते हैं: एक हैकर (खतरे का स्रोत) एक बेजोड़ कंपनी के वेब सर्वर (परिसंपत्ति की भेद्यता) पर हमला करता है, जो SQL इंजेक्शन (खतरे को लागू करने का एक तरीका) DBMS में इस वेब सर्वर (लक्ष्य) की सेवा करता है और अवैध रूप से गोपनीय जानकारी (दुर्भावनापूर्ण प्रभाव) प्राप्त करता है।

इसके अलावा, सूचना सुरक्षा खतरों के इन घटकों पर अधिक विस्तार से विचार किया जाएगा।

1. खतरे का स्रोत बाहरी या आंतरिक हो सकता है (विचाराधीन संरक्षण की वस्तु के संबंध में) उल्लंघनकर्ता, तीसरे पक्ष, प्रकृति के बल।

बाहरी उल्लंघनकर्ता कंपनी के कर्मचारी नहीं हैं, आंतरिक सूचना प्रणाली के वैध उपयोगकर्ता, आउटसोर्सर, ठेकेदार, आपूर्तिकर्ता, ग्राहक और कानूनी रूप से जुड़े अन्य व्यक्ति जो संगठन के साथ जुड़े हुए हैं। ऐसे उल्लंघनकर्ताओं के पास संरक्षण (सूचना संपत्ति) की वस्तु तक वैध पहुंच नहीं होती है और उन्हें उनके कौशल, क्षमताओं और प्रेरणा के अनुसार वर्गीकृत किया जाता है। बाहरी लोगों के उदाहरणों में सरकारी वित्तीय बैकिंग के साथ सरकार समर्थक विशेषज्ञ हैकर्स या प्रतियोगियों, हैक्टिविस्टों, पेशेवर साइबर जालसाज़ों या यहां तक ​​कि व्यापक रूप से उपलब्ध हैकर कार्यक्रमों से लैस किशोर भी शामिल हैं। बाहरी घुसपैठियों के खिलाफ प्रतिवाद में सूचना सुरक्षा सुनिश्चित करने के "शास्त्रीय" तरीकों के लगभग पूरे स्पेक्ट्रम शामिल हैं: आंतरिक नियामक दस्तावेजों का विकास और कार्यान्वयन, सूचना सुरक्षा उपकरण, सक्रिय प्रतिसाद, साइबर घटनाओं की प्रतिक्रिया और जांच आदि। संगठनों को बाहरी हमलावरों द्वारा हमले के जोखिम के लिए अपने स्वयं के जोखिम का नियमित मूल्यांकन करना चाहिए, जो गतिविधि के दायरे, सूचना प्रौद्योगिकी पर निर्भरता, प्रचार, हमलावरों के लिए आकर्षण और संभावित हमले की चौड़ाई को ध्यान में रखना चाहिए। सामान्य तौर पर, यह बाहरी घुसपैठिए हैं जो साइबर जोखिम में सबसे अप्रत्याशित और अनियंत्रित कारक हैं, जिन्हें सबसे आधुनिक सुरक्षा उपायों और विधियों के कार्यान्वयन की आवश्यकता होती है।

आंतरिक उल्लंघनकर्ताओं को व्यक्ति - कर्मचारी और कंपनी के अधिकारी, साथ ही कानूनी संस्थाएं माना जा सकता है, जिनका कंपनी के साथ एक संविदात्मक संबंध है। आंतरिक उल्लंघनों को उनके कार्यों के फोकस और दुर्भावना के अनुसार वर्गीकृत किया जाता है, और लक्षित अनधिकृत पहुंच को पूरा करने के लिए, एक दुर्भावनापूर्ण अंदरूनी सूत्र के पास एक हमले के लिए एक मकसद, तरीका और इसी अवसर होना चाहिए। सेवाओं, उपकरणों या कर्मियों के प्रदाता भी सूचना सुरक्षा जोखिम उठाते हैं - ऐसे मामले होते हैं जब आईटी सेवा प्रदाता, सहायक उपकरण के निर्माता और ठेका कंपनी के कर्मचारी लीक के कारण बन जाते हैं। क्लाउड सर्विस प्रोवाइडर भी संभावित आंतरिक घुसपैठियों की श्रेणी में आते हैं, जो कि गलत तरीके से कॉन्फ़िगर किए गए क्लाउड स्टोरेज से बड़ी संख्या में डेटा लीक द्वारा निकाले जा सकते हैं। तीसरे पक्ष के संगठनों को आकर्षित करने के जोखिम के आकलन और प्रबंधन के लिए तरीकों के मानकीकरण के रूप में हाल की प्रवृत्ति पर ध्यान दिया जाना चाहिए: CBR ने मानक STO BR IBBS-1.4-2018 "आउटसोर्सिंग में सूचना सुरक्षा जोखिम प्रबंधन" जारी किया, और अंतर्राष्ट्रीय मानक ISO 27036 का उपयोग बातचीत में सूचना सुरक्षा का प्रबंधन करने के लिए किया जा सकता है। सेवा प्रदाताओं के साथ, क्लाउड सेवा प्रदाताओं सहित (आईएसओ 27036-4 द्वारा निर्देशित: 2016)।

बाहरी और आंतरिक उल्लंघनकर्ताओं के अलावा, किसी को खतरों के अन्य स्रोतों के बारे में नहीं भूलना चाहिए: प्रकृति के तीसरे पक्ष और बलों का कंपनी की गतिविधियों पर महत्वपूर्ण नकारात्मक प्रभाव पड़ सकता है। तो, तीसरे पक्ष को सार्वजनिक प्राधिकारी माना जा सकता है, कंपनी के काम में हस्तक्षेप के परिणाम एक प्राकृतिक आपदा के प्रभाव से कम हो सकते हैं। खोजी उपायों की खबरें कंपनी की छवि और प्रतिष्ठा पर प्रतिकूल प्रभाव डाल सकती हैं, और अपेक्षाकृत कम समय के लिए परिचालन निलंबित करने का एक लिखित आदेश वास्तव में कंपनी के बाजार से हटने का मतलब हो सकता है। उपकरण की जब्ती, सर्वर रूम की सीलिंग, और कंपनी के मुख्य कार्यकारी अधिकारियों की गिरफ्तारी के परिणाम भी हो सकते हैं। तीसरे पक्ष के प्रभाव से उत्पन्न जोखिमों को कम करने के उपाय, वर्तमान कानून की सभी आवश्यकताओं का कठोर कार्यान्वयन और निरंतर आंतरिक अनुपालन जांच होनी चाहिए। अंत में, खतरों के स्रोतों को वर्गीकृत करने के संदर्भ में प्राकृतिक ताकतें प्राकृतिक आपदाएं हैं, जैसे कि प्राकृतिक और तकनीकी आपदाएं, साथ ही सामाजिक आपदाएं: महामारी, सैन्य अभियान, आतंकवादी हमले, क्रांतियां, हमले और अन्य आपदाएं। इन घटनाओं के जोखिमों को कम करने के लिए, व्यापार निरंतरता सुनिश्चित करने और कार्य क्षमता को बहाल करने की प्रणालियों में बड़े वित्तीय निवेश की आवश्यकता होती है, साथ ही साथ कंपनी के विकास के प्रारंभिक चरणों में इन जोखिमों को ध्यान में रखते हुए: आपको ध्यान से स्थान, अन्य संस्थानों की निकटता और मौसम की स्थिति, स्थिति को ध्यान में रखते हुए कार्यालयों का स्थान चुनना चाहिए। राज्य और समाज, किसी विशेष क्षेत्र की उपस्थिति के आर्थिक और सामाजिक विकास के पूर्वानुमानों को ध्यान में रखते हैं। ऊपर वर्णित तरीकों से प्राकृतिक आपदाओं के जोखिमों को कम करने के अलावा, कंपनियां इन जोखिमों - बीमा के प्रसंस्करण का एक और तरीका चुन सकती हैं। एक सुविचारित और सक्षम रूप से चयनित बीमा भुगतान योजना के साथ, आप व्यवसाय पर बल के प्रभाव से होने वाले नुकसान को कम कर सकते हैं। हालांकि, किसी भी प्रबंधक और कर्मचारी को हमेशा याद रखना चाहिए कि किसी व्यक्ति का जीवन, यहां तक ​​कि सबसे लाभदायक व्यवसाय की तुलना में अनमोल है, इसलिए, किसी भी परिस्थिति में, जीवन और स्वास्थ्य को बचाना पहली प्राथमिकता होनी चाहिए।

2. भेद्यता सूचना प्रणाली सुरक्षा साधनों की कमी है जिसका उपयोग सूचना सुरक्षा के लिए खतरों को लागू करने के लिए एक घुसपैठिए (बाहरी और आंतरिक दोनों) द्वारा किया जा सकता है। सूचना प्रणाली में कमजोरियां प्रणाली के निर्माण, कार्यान्वयन या संचालन में त्रुटियों या लागू होने वाले सुरक्षात्मक उपकरणों और उपायों की कमजोरी के कारण हो सकती हैं।

तार्किक दृष्टिकोण से, आदर्श रूप से संरक्षित और सुरक्षित सूचना प्रणाली मौजूद नहीं हो सकती हैं जो एक अलग स्थान पर स्थित नहीं हैं, लेकिन अपने व्यापार कार्य को पूरा करती हैं, इसलिए कमजोरियां सबसे विश्वसनीय और परीक्षण प्रणाली में भी दिखाई दे सकती हैं। रूसी मानक GOST R 56546-2015 कई संभावित प्रकार की कमजोरियों की पहचान करता है: कोड भेद्यता, कॉन्फ़िगरेशन, आर्किटेक्चर, संगठनात्मक भेद्यता, बहु-कारक कमजोरियां। यह मानक कमजोरियों के संभावित स्थानों को भी इंगित करता है: सिस्टम-वाइड, एप्लिकेशन, विशेष सॉफ्टवेयर, हार्डवेयर, नेटवर्क उपकरण और सुरक्षा उपकरण। भेद्यता को खतरे की अपनी डिग्री की विशेषता है, जिसे GOST R 56546-2015 द्वारा सूचना प्रणाली की भेद्यता और सूचना सुरक्षा गुणों (गोपनीयता, अखंडता, पहुंच) के उल्लंघन पर इस भेद्यता के प्रभाव की तुलनात्मक मूल्य के रूप में परिभाषित किया गया है।

मात्रात्मक जोखिमों में भेद्यता जोखिम की गणना करने के लिए आम तौर पर स्वीकृत तरीका नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड एंड टेक्नोलॉजी (एनआईएसटी) के कॉमन वल्नरेबिलिटी स्कोरिंग सिस्टम (सीवीएसएस) मीट्रिक का उपयोग करना है। यह मीट्रिक आपको भेद्यता की मुख्य विशेषताओं का वर्णन करने और इसके खतरे (0 से 10 के पैमाने पर) की कार्रवाई की जटिलता के आधार पर, संपत्ति की सुरक्षा गुणों पर प्रभाव, एक तैयार किए गए शोषण की उपलब्धता और एक हमलावर के लिए इसकी उपलब्धता, भेद्यता को ठीक करने की क्षमता और उपस्थिति के बारे में संदेश की विश्वसनीयता के स्तर पर निर्भर करता है। कमजोरियों, साथ ही कमजोर प्रणाली के विशिष्ट ऑपरेटिंग वातावरण के संबंध में।

कमजोरियों को पंजीकृत करने और वर्गीकृत करने का विचार कई आधिकारिक भेद्यता रजिस्टरों में लागू किया गया है, जैसे MITER CVE (कॉमन वल्नरेबिलिटीज़ एंड एक्सपोज़र), FSTEC रशियन नेशनल सिक्योरिटी ब्यूरो (इंफॉर्मेशन सिक्योरिटी थ्रेट डेटंक), NIST NVD (नेशनल वल्नरेबिलिटी डेटाबेस), CERT / CC VND () भेद्यता नोट्स डेटाबेस)।

MITER CVE रजिस्ट्री को 1999 से बनाए रखा गया है, और उस दौरान 115 हजार से अधिक भेद्यताओं पर डेटा इसमें संग्रहीत किया गया था। इस रजिस्ट्री में जानकारी CNA (CVE नंबरिंग अथॉरिटीज़) द्वारा दर्ज की जाती है - पंजीकृत संगठन (जैसे राज्य CERTs), सॉफ्टवेयर कंपनियां, साथ ही स्वतंत्र सुरक्षा शोधकर्ता जो कि डिटेक्ट किए गए भेद्यता प्रकार CVE-YYYY-NNNN, जहां YYYY की पहचानकर्ता को असाइन करने के लिए अधिकृत हैं - भेद्यता खोज का वर्ष, और NNNN - इसकी क्रम संख्या। वर्तमान में, CNA सूची में 98 संगठन और व्यक्ति हैं, जिनमें से दो रूसी कंपनियां हैं- यैंडेक्स और कैस्परस्की लैब।

BDU की रूसी रजिस्ट्री रूस के FSTEC और राज्य अनुसंधान संस्थान PTZI द्वारा प्रशासित की जाती है। 2015 से, यह BDU प्रकार के पहचानकर्ताओं के साथ 21 हजार से अधिक भेद्यताओं की जानकारी के साथ अद्यतन किया गया है: YYYY-IUUUU, जहां YYYY पता लगाने का वर्ष है और IUUUI भेद्यता क्रम संख्या है। इस रजिस्ट्री को इस तथ्य की विशेषता है कि इसमें रूस में विकसित सॉफ़्टवेयर में कमजोरियों के बारे में अनूठी जानकारी है, जो अन्य रजिस्ट्रियों में प्रस्तुत नहीं की गई है, और यह भी घरेलू सूचना सुरक्षा उपकरणों के डेवलपर्स को विश्वसनीय राज्य स्रोत से अप-टू-डेट भेद्यता डेटा प्राप्त करने की अनुमति देता है। कोई भी नागरिक या संगठन जो भेद्यता पाता है, वह वेब प्रपत्र के माध्यम से या रूस के FSTEC को सीधे ई-मेल के माध्यम से इसके बारे में जानकारी भेज सकता है।

आधिकारिक लोगों के अलावा, सॉफ्टवेयर डेवलपर्स (उदाहरण के लिए, माइक्रोसॉफ्ट, सिस्को, ओरेकल, आईबीएम, रेड हैट, उबंटू, वीएमवेयर और अन्य) द्वारा बनाए गए कमजोरियों और कारनामों की वैकल्पिक रजिस्ट्री की एक बड़ी संख्या है, साथ ही साथ व्यक्तिगत संगठनों और उत्साही लोगों द्वारा भी।

भेद्यता का कारण सॉफ्टवेयर के विकास या विन्यास के दौरान की गई गलती हो सकती है। अमेरिकन नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड एंड टेक्नोलॉजी अपनी सीडब्ल्यूई (कॉमन वीकनेस एन्यूमरेशन) सूची में 124 प्रकार की त्रुटियों को वर्गीकृत करता है। इसके अलावा, MITER संगठन की वेबसाइट पर सूचीबद्ध प्रत्येक त्रुटि के लिए, इसका विस्तृत विवरण असुरक्षित कोड के उदाहरण के साथ प्रदान किया जाता है, सॉफ्टवेयर विकास चरणों के संदर्भ में ऐसी त्रुटियों का पता लगाने और समाप्त करने के निर्देश, साथ ही साथ इस त्रुटि के कारण पंजीकृत CVE कमजोरियों के लिंक के साथ, और CAPEC (कॉमन अटैक पैटर्न एन्युमरेशन एंड क्लासिफिकेशन) हमले पैटर्न, त्रुटि और संभावित हमलों को जोड़ता है।

रूस के FSTEC ने MITER CAPEC क्लासिफायर के घरेलू विकल्प के रूप में सूचना सुरक्षा खतरों का एक रजिस्टर बनाया है। वर्तमान दिन में इस रजिस्ट्री में 213 प्रकार के खतरे होते हैं, प्रत्येक प्रकार के खतरे की अपनी विशिष्ट पहचानकर्ता (UBI का प्रकार। ***), खतरे का विवरण, स्रोत, लक्ष्य और इसके कार्यान्वयन के परिणाम हैं। खतरे के नाम, स्रोत या परिणामों से खोज उपलब्ध है। उसी समय, रजिस्ट्री में न केवल विशुद्ध रूप से तकनीकी खतरे होते हैं, बल्कि संगठनात्मक भी होते हैं, जैसे कि, उदाहरण के लिए, UBI.040 (विभिन्न देशों के न्यायालयों के बीच संघर्ष का खतरा), UBI.056 (बादल को खराब बुनियादी ढांचे का खतरा) या UBI.134 (विश्वास की हानि का खतरा) अपने क्लाउड सेवा प्रदाता को)।

कमजोरियों की पहचान करने के लिए, कोई भी स्वचालित प्रणाली (भेद्यता स्कैनर, कॉन्फ़िगरेशन और संस्करण प्रबंधन प्रणाली) दोनों का उपयोग कर सकता है, और सुरक्षा आकलन और प्रवेश परीक्षण कर सकता है, जिसके परिणामस्वरूप संगठन संभावित रूप से शोषित कमजोरियों की उपस्थिति के बारे में जानकारी प्राप्त करता है। हालांकि, आपको यह याद रखने की आवश्यकता है कि औसतन कई नई कमजोरियां दैनिक आधार पर दिखाई देती हैं, इसलिए आपको एपिसोडिक विश्लेषण नहीं करना चाहिए, बल्कि कमजोरियों के प्रबंधन के लिए एक सतत प्रक्रिया का निर्माण करना चाहिए।इसके ढांचे के भीतर, संगठन परिसंपत्तियों की सूची, वर्गीकरण और प्राथमिकता के आधार पर, वर्तमान सुरक्षा का विश्लेषण, कमजोरियों की खोज और उनके प्रसंस्करण (उन्मूलन / कम से कम / अलगाव / स्वीकृति) के माध्यम से उनकी महत्वपूर्णता, बाद के सत्यापन और उठाए गए कदमों की प्रभावशीलता का आकलन कर सकते हैं।

3. कार्यान्वयन के तरीकेखतरे भी वर्गीकृत हैं। उदाहरण के लिए, रूस का FSTEC खतरों को लागू करने के लिए निम्नलिखित श्रेणियां प्रदान करता है: जानकारी का अनधिकृत संग्रह, संसाधनों की थकावट, इंजेक्शन, बातचीत के दौरान प्रतिस्थापन, नियम और शर्तों में हेरफेर, कार्यक्षमता का दुरुपयोग, संभाव्यता के तरीकों, प्रमाणीकरण का उल्लंघन, प्राधिकरण का उल्लंघन, डेटा संरचनाओं का हेरफेर, लक्ष्य का विश्लेषण, हेरफेर। संसाधन, तकनीकी विफलताओं और त्रुटियों का उपयोग, भौतिक पहुंच प्राप्त करना, संगठनात्मक कमजोरियों का उपयोग।

MITER ATT & CK परियोजना खतरों को लागू करने का एक ज्ञान का आधार है, हमलावरों द्वारा उपयोग की जाने वाली रणनीति, तकनीक और प्रक्रियाओं (TTPs - रणनीति, तकनीक, प्रक्रिया) के तरीकों की सूची का विस्तार करना। MITER ATT & CK, MITER CAPEC हमले पैटर्न क्लासिफायर के साथ जुड़ा हुआ है, जिसके बारे में हमने पहले बात की थी। प्रत्येक हमले की रणनीति के लिए, विशिष्ट तकनीकों की एक सूची प्रदान की जाती है, हमले के कार्यान्वयन के विस्तृत तकनीकी विवरण के साथ, हमलावरों द्वारा उपयोग किए गए सॉफ़्टवेयर की एक सूची और विशिष्ट साइबर क्रिमिनल समूहों के पहचानकर्ता जो अपने "लिखावट" के अनुसार कुछ टीटीपी का उपयोग करते हैं, जिसके अनुसार हमले को सफल के लिए जिम्मेदार ठहराया जा सकता है। प्रतिवाद या जाँच।

4. वस्तुएंसभी कंपनी की संपत्ति, दोनों मूर्त और अमूर्त, एक हमले के दौरान हानिकारक हो सकती है: लोग, सूचना, विकास, उत्पादन और आपूर्ति प्रक्रिया, डेटा ट्रांसमिशन चैनल, सॉफ्टवेयर और हार्डवेयर और सिस्टम घटक। यह याद रखना चाहिए कि यह लोग हैं - कर्मचारी, प्रबंधक, आउटसोर्सर - जो अक्सर किसी कंपनी की सूचना सुरक्षा सुनिश्चित करने की प्रणाली में सबसे कमजोर कड़ी होते हैं। यदि उनके नियत किए गए नियमों के अनुसार और उनके प्रभावी संचालन के लिए सुरक्षा कार्य का तकनीकी साधन उन्हें सही ढंग से कॉन्फ़िगर करने के लिए पर्याप्त है, तो साइबर हमलों में "मानव कारक" को कम करने के लिए, आपको लगातार कर्मियों के साथ व्याख्यात्मक कार्य करना चाहिए और प्रशिक्षण और शिक्षा का संचालन करना चाहिए, व्यवहार की मनोवैज्ञानिक और सामाजिक विशेषताओं को ध्यान में रखते हुए। कर्मचारियों को।

5।दुर्भावनापूर्ण प्रभाव के प्रकार , एक नियम के रूप में, सूचना की अखंडता, गोपनीयता, सूचना संसाधनों की पहुंच, साथ ही गैर-प्रतिरूपण, प्रामाणिकता और सूचना की जवाबदेही पर हमले का उल्लंघन है।

अखंडता उल्लंघन के दिलचस्प उदाहरण डेटा हेरफेर और धोखाधड़ी के विभिन्न तरीके हो सकते हैं, जैसे कि डेटा डिडलिंग (विकृत जानकारी को संरक्षित करने और भविष्य में इससे वित्तीय लाभ प्राप्त करने के लिए सिस्टम में गलत तरीके से बदलाव करना - उदाहरण के लिए, कंपनी के वित्तीय वक्तव्यों और स्टॉक की कीमतों में हेरफेर करने के लिए) , सलामी फ्रॉड (लंबे समय में बहुत अधिक सूक्ष्म परिवर्तन करना, जो अंततः महत्वपूर्ण परिणाम देता है - उदाहरण के लिए, एक सूची वर्ष भर में सभी ग्राहकों के प्रत्येक बैंक खाते से 10 कोपेक), "तार्किक बम" (सॉफ्टवेयर बुकमार्क का परिचय जो कुछ शर्तों के तहत संग्रहीत / संसाधित डेटा के विरूपण की ओर जाता है - उदाहरण के लिए,अपनी बर्खास्तगी के बाद एक निश्चित बैंक कर्मचारी के योगदान पर बढ़े हुए अनधिकृत ब्याज।

सूचना की गोपनीयता का उल्लंघन न केवल अल्पावधि में स्पष्ट परिणामों के साथ होता है, उदाहरण के लिए, जब ग्राहकों की व्यक्तिगत जानकारी को खुली पहुंच में खोजा जाता है, लेकिन इस तथ्य के साथ कि चोरी की जानकारी समझौता के तथ्य के कई साल बाद अप्रत्याशित रूप से "उभर" सकती है - उदाहरण के लिए, कंपनी या प्रमुख को बदनाम करने वाली जानकारी एक आईपीओ या नियुक्ति की पूर्व संध्या पर खुलासा किया जाए। प्रतिस्पर्धियों द्वारा कंपनी के जानकारों की चोरी से न केवल प्रतिस्पर्धात्मक लाभ और बाजार में हिस्सेदारी का नुकसान हो सकता है, बल्कि प्रतियोगियों पर हमला करके जबरन वसूली के तथ्य भी सामने आ सकते हैं, जिससे कंपनी द्वारा व्यापार करने के "ग्रे" तरीकों को सार्वजनिक करने की धमकी दी जा सकती है।

एक नियम के रूप में, जानकारी की उपलब्धता का उल्लंघन करने वाले हमले, परिचालन गतिविधियों के संदर्भ में अत्यंत विनाशकारी होने और प्रतिष्ठा बनाए रखने के लिए सबसे आसान पता लगाने के लिए निकलते हैं। उदाहरणों में WannaCry या NotPetya के सनसनीखेज अंतरराष्ट्रीय महामारियों के साथ-साथ रूसी भुगतान प्रणालियों और बैंकों पर DDoS के हमले शामिल हैं। संगठन और व्यक्ति भी रैंसमवेयर वायरस के साथ तेजी से सामना कर रहे हैं, जो साल-दर-साल खतरनाक होते जा रहे हैं और पूरे उद्यमों के कामकाज को निलंबित करने में सक्षम हैं।

ऊपर वर्णित सूचना सुरक्षा खतरों के समग्र घटक (खतरे, वस्तुओं और हानिकारक प्रभावों के प्रकारों को लागू करने के लिए स्रोत, भेद्यता और तरीके) सुरक्षात्मक उपायों द्वारा निष्प्रभावी किए जा सकते हैं, जो पारंपरिक रूप से संगठनात्मक, तकनीकी, भौतिक में विभाजित हैं और कर्मचारियों, प्रक्रियाओं और प्रौद्योगिकियों पर लागू होते हैं। लागू किए गए उपायों के उद्देश्यों के अनुसार, निवारक, नीति, निवारक, निवारक, सुधारात्मक, उपचारात्मक, खोजी और प्रतिपूरक उपायों में एक विभाजन है।

सूचना सुरक्षा के व्यावहारिक कार्यान्वयन के लिए मुख्य अंतर्राष्ट्रीय मानक आईएसओ / आईईसी 27001 हैं: 2013 सूचना सुरक्षा प्रबंधन प्रणाली - आवश्यकताएँ और NIST SP 800-53 सुरक्षा और सूचना प्रणाली और संगठनों के लिए गोपनीयता नियंत्रण और सूचना प्रणाली और संगठनों के लिए गोपनीयता "), जिसमें सूचना सुरक्षा सुनिश्चित करने और प्रबंधित करने के लिए एक समग्र प्रणाली के विकास के लिए संगठनात्मक और तकनीकी आवश्यकताओं का विवरण शामिल है। यह ध्यान दिया जाना चाहिए कि एनआईएसटी एसपी 800-53 मानक में वर्णित सभी सुरक्षात्मक उपायों में संबंधित उपाय को लागू करने के लिए विशिष्ट कदम भी शामिल हैं, जो इस दस्तावेज़ को मानक आईएसओ / आईईसी 27001: 2013 की तुलना में बहुत अधिक विस्तृत बनाता है।

एक एकीकृत सूचना सुरक्षा प्रबंधन प्रणाली के निर्माण के मुख्य चरणों से गुजरने के बाद ही सुरक्षा के विभिन्न तकनीकी साधनों की शुरूआत उचित है: जोखिम प्रबंधन और साइबर सुरक्षा, इन्वेंट्री और संपत्ति के वर्गीकरण, जोखिम मूल्यांकन और विश्लेषण के क्षेत्र में आंतरिक नियामक दस्तावेजों का विकास, विशिष्ट प्रकार के सुरक्षात्मक उपकरणों के कार्यान्वयन के लिए व्यवहार्यता अध्ययन। । यह भी ध्यान दिया जाना चाहिए कि यहां तक ​​कि सबसे आधुनिक और "उन्नत" टूल को किसी विशेष कंपनी में सुरक्षात्मक व्यावसायिक कार्यों को करने के लिए ठीक-ट्यूनिंग की आवश्यकता होती है, इसलिए, लागत प्रभावी उपयोग के लिए, आपको सबसे पहले इस बात की समझ विकसित करने की आवश्यकता होगी कि यह या उस साइबर रक्षा प्रणाली को क्या जोखिम होगा, और फिर इसे तदनुसार सेट करें और लगातार इसे अद्यतित रखें।

अंत में, मैं एक बार फिर ध्यान देना चाहूंगा कि आधुनिक सूचना प्रौद्योगिकियों के उपयोग के विकास और लाभ उनके साथ जुड़े जोखिमों और खतरों के साथ हाथ से जाते हैं। इसलिए, एक निश्चित अज्ञात को वहन करने वाली किसी भी नई परियोजना की तरह सूचना प्रौद्योगिकी की शुरूआत को जोखिम विश्लेषण और प्रसंस्करण के साथ जोड़ा जाना चाहिए। हालांकि, अक्सर एक पुराना दृष्टिकोण होता है जिसमें सूचना सुरक्षा मुद्दों को व्यावसायिक संदर्भ से अलग-थलग माना जाता है, और जोखिम प्रबंधन के साथ भी नहीं जोड़ा जाता है। सूचना सुरक्षा के लिए वर्तमान खतरों के घटकों की एक समग्र समझ, विभिन्न सूचना प्रणालियों के कार्यान्वयन और संचालन के लिए जोखिम मूल्यांकन तकनीकों के उपयोग के साथ मिलकर,सुरक्षात्मक उपायों के साथ खतरों को बेअसर करने के आधुनिक तरीकों की समझ के साथ-साथ आपको कंपनी के विकास और उसके डिजिटल परिवर्तन के लिए एक आईटी रणनीति चुनने और कुछ सूचना प्रौद्योगिकी, उत्पादों और सेवाओं के कार्यान्वयन और उपयोग में लाभ होगा।