Giriş. İnformasiya təhlükəsizliyi dedikdə informasiyanın və informasiya mühitinin təsadüfi və ya düşünülmüş təbii və ya süni xarakterə malik təsirlərdən müdafiə vəziyyəti başa düşülür. Belə təsirlər informasiyaya və ya informasiya obyektlərinə, həmçinin informasiya istifadəçisinə və sahibinə yolverilməz ziyanlar vura bilir. İnformasiyanın mühafizəsi – informasiya təhlükəsizliyinin təmin olunması üçün həyata keçirilən kompleks tədbirlərdir. Bu baxımdan dərsliyin mahiyyəti nisbətən cavan, amma dinamik inkişaf edən informasiya texnologiyaları sahələrində istifadə olunan informasiyanın müdafiə olunma modelinin və üsullarının, həmçinin bu məqsədlə istifadə edilən vasitələrinin öyrənilməsi və tədqiq edilməsidir. İndiki zamanda informasiyanın təhlükəsizliyi informasiyanın ən çox yayılmış üç əsas xüsusiyyətinə əsaslanır: konfidensiallıq, tamlıq və əlçatanlıq. İnformasiyanın konfidensiallığı həddindən artıq məhdud dairədə olan insanlar ilə tanış olmağın mümkünlüyünü ifadə edir. Bu insanlar informasiya sahibləridirlər. Əgər informasiyanı bu şəxslərdən başqa icazəsi olmayan digər şəxslərdə istifadə edə bilirlərsə, onda informasiyanın konfidensiallığı itmiş olur. Bəzi informasiya növləri üçün konfidensiallıq əsas atribut sayılır (məsələn, strateji tədqiqatlarla bağlı olan məlumatlar, tibbi qeydlər, sığorta ilə bağlı yazılar, yeni istehsal olunacaq məhsul haqqında xüsusi məlumatlar və s.). Bəzi hallarda konkret şəxslər barədə olan məlumatlarda da konfidensiallığı saxlamaq lazımdır (məsələn, bankın müştərisi haqqında informasiyanı, kredit verənlər haqqında, vergi haqqında verilənləri, tibbi müəssisələrdə pasientlərin vəziyyəti haqqında məlumatları və buna bənzərləri). İnformasiyanın tamlığı onun təhrif olunmamış şəkildə saxlanma bacarığını (qabiliyyətini) müəyyənləşdirir. Səlahiyyəti olmayan, qabaqcadan nəzərdə tutulmamış istifadəçi tərəfindən informasiyanın itirilməsi (operatorun səhvi və ya səlahiyyətsiz şəxsin qəsddən etdiyi hərəkət nəticəsində) onun tamlığının itirilməsinə səbəb olur. Tamlıq əsasən kritik infrastruktura malik obyektlərin müəyyən fuksiyanı yerinə yetirməsində yararlı olan maliyyə verilənləri üçün xüsusilə vacibdir (məsələn, enerji təminatında, hava yollarının idarə edilməsində və s.). Pisniyyətli şəxsin İsveçrədə yerləşən nüvə fizikası laboratoriyasına gizli yolla daxil olaraq kompüter sisteminə daxil olması və “p ” ədədində bir işarənin və ya vergülün yerinə dəyişməsi laboratoriyada həyata keçirilən eksperimentin mənasız aparılmasına, nəticədə milyonlarla paranın havaya sovrulmasına səbəb olacaqdır.
Əsas hissə. Kiber hücumların hökumət və korporativ sistemlərdə geniş yayılması 1996-cı ildən başladı. O vaxtdan bəri bu cür fəaliyyətlərlə əlaqədar çox sayda hadisə olmuşdur. Kiber hücumlar, şəxsiyyət və elektron bank oğurluğu cinayətləri və təşkilat casusları tərəfindən mütəşəkkil cinayətkarlıqda istifadə edilmişdir. Kiber hücum sistemlərinin ümumi funksiaları bunlardır:
· Məlumat axtarışı: maraq doğuran və lazımlı sənədləri tapmaq və kopyalamaq üçün yerli və qlobal şəbəkə axtarılır, bunlara misal olaraq,sənədlər, elektron cədvəllər, Autocad sənədləri kimi dizayn sənədləri və password faylı kimi sistem fayllarını misal göstərmək olar.· Məkandan istifadə: GPS, WiFi, şəbəkə məlumatları və digər əlavə edilmiş cihazlardan casus cihazın yerini və hərəkətini təyin etmək üçün istifadə olunur· Xəta: Səs yazmaq üçün mikrofon aktivləşdirilə bilər. Eynilə, yerli dinamiklər üçün nəzərdə tutulmuş səs axınları cihaz səviyyəsində dinlənilə və qeyd edilə bilər.· Kamera: Kameraları gizli şəkildə şəkillər və ya videolar çəkmək üçün aktivləşdirilə bilər.
İnformasiyanın təhlükəsizliyinin təmin olunması probleminin vacibliyini və aktuallığını şərtləndirən səbəblərdən aşağıdakıları xüsusi vurğulamaq olar:
- şəbəkə texnologiyalarının geniş yayılması və lokal şəbəkələrin qlobal şəbəkələr halında birləşməsi;
- informasiya təhlükəsizliyinin pozulmasına praktik olaraq mane olmayan qlobal İnternet şəbəkəsinin inkişafı;
- minimal təhlükəsizlik tələblərinə belə cavab verməyən proqram vasitələrinin geniş yayılması.
İnformasiyanın mühafizəsi – informasiya təhlükəsizliyinin təmin olunmasına yönəlmiş tədbirlər kompleksidir.
İnformasiya təhlükəsizliyi sahəsində tarixən ilk standart ABŞ Müdafiə Nazirliyinin "Etibarlı kompüter sistemlərinin qiymətləndirilməsi meyarları" olmuşdur. Cildinin rənginə görə çox vaxt "Narıncı kitab" adlanan bu standart ilk dəfə 1983-cü ilin avqustunda nəşr edilmişdi.
"Narıncı kitabda" etibarlı sistemi "giriş hüququnu pozmadan müxtəlif məxfilik dərəcəsinə malik informasiyanın istifadəçilər qrupu tərəfindən eyni zamanda emalını təmin etmək üçün yetərli aparat və proqram təminatı istifadə edən sistem" kimi müəyyən edir.
"Narıncı kitabda" dörd etibar səviyyəsi – D, C, B və A müəyyən edilir.
- D səviyyəsi qeyri-qənaətbəxş qəbul edilmiş sistemlər üçün nəzərdə tutulub. C səviyyəsindən A səviyyəsinə keçdikcə sistemlərə daha ciddi tələblər irəli sürülür. C və B səviyyələri etibar dərəcəsinin tədricən artması ilə siniflərə bölünür (C1, C2, B1, B2, B3).
"Narıncı kitabda" daxil edilmiş təsnifatı qısaca belə ifadə etmək olar:
- C səviyyəsi – girişin ixtiyari idarə edilməsi;
- B səviyyəsi – girişin mandatlı idarə edilməsi;
- A səviyyəsi – təhlükəsizliyin verifikasiya edilə bilməsi.
Əlbəttə, "Narıncı kitabın" ünvanına bir sıra ciddi iradlar söyləmək olar (məsələn, paylanmış sistemlərdə meydana çıxan hadisələrin tamamilə nəzərə alınmaması). Buna baxmayaraq qeyd etmək lazımdır ki, "Narıncı kitabın" nəşri heç bir mübaliğə olmadan informasiya təhlükəsizliyi sahəsində çox böyük əhəmiyyətli hadisə oldu. Hamı tərəfindən qəbul edilən anlayışlar bazisi meydana çıxdı ki, bunlarsız informasiya təhlükəsizliyi məsələlərinin hətta müzakirəsi belə çətin olardı.
Kiber təhlükəsizliyinin idarə olunması. Milli Kiber Təhlükəsizlik İttifaqı, SafeOnline.org saytı vasitəsi ilə kiber təhlükəsizliyə yuxarıdan aşağıya doğru bir yanaşma tövsiyə edir ki, korporativ idarəetmə bütün iş təcrübələrində kiber təhlükəsizlik idarəçiliyinə üstünlük verməkdədir. NCSA, şirkətlərin “qaçılmaz kiber hadisəyə reaksiya verməyə, normal əməliyyatları bərpa etməyə və şirkət varlıqlarının və şirkətin nüfuzunun qorunmasını təmin etməyə” hazır olmağı tövsiyə edir. NCSA-nın kiber risk qiymətləndirmələrini aparmaq üçün təlimatları üç əsas sahəyə yönəlmişdir: təşkilatınızın "tac zinət əşyaları" nı və ya qorunma tələb edən ən dəyərli məlumatlarınızı müəyyənləşdirmək; bu məlumatla üzləşən təhdid və risklərin müəyyənləşdirilməsi; və məlumatların itirilməsi və ya səhv bir şəkildə ifşa edilməsi halında təşkilatınıza dəyəcək zərərin müəyyənləşdirilməsi. Kiber risk qiymətləndirmələrində, şirkətinizin PCI-DSS, HIPAA, SOX, FISMA və digərləri kimi məlumatların toplanmasına, saxlanmasına və qorunmasına təsir edən qaydalar da nəzərə alınmalıdır. Kiber risk qiymətləndirməsindən sonra kiber riski azaltmaq, qiymətləndirmədə göstərilən “tac daşlarını” qorumaq və təhlükəsizlik hadisələrini effektiv şəkildə aşkar etmək və onlara cavab vermək üçün bir plan hazırlayın və tətbiq edin. Bu plan, yetkin bir kiber təhlükəsizlik proqramı yaratmaq üçün tələb olunan həm prosesləri, həm də texnologiyaları əhatə etməlidir. Daim inkişaf edən bir sahə, kiber təhlükəsizliyin ən yaxşı təcrübələri təcavüzkarlar tərəfindən getdikcə daha da inkişaf etmiş hücumlara uyğunlaşmaq üçün inkişaf etməlidir. Səsli kiber təhlükəsizlik tədbirlərini savadlı və təhlükəsizlik düşüncəli işçi bazası ilə birləşdirmək, şirkətinizin həssas məlumatlarına giriş əldə etməyə çalışan kiber cinayətkarlara qarşı ən yaxşı müdafiəni təmin edir. Qorxunc bir iş kimi görünsə də, kiçikdən başlayın və kiber proqramınız yetişdikcə səylərinizi genişləndirərək ən həssas məlumatlarınıza diqqət yetirin.
Nəticə. Ölkələrin kibertəhlükəsizliyə baxışları müxtəlifdir, kibertəhlükəsizliyə informasiya təhlükəsizliyi, milli təhlükəsizlik məsələsi, hüquq-mühafizə məsələsi, iqtisadi məsələ kimi baxışlar mövcuddur. Bütün ölkələr kibertəhlükəsizlik sahəsində beynəlxalq əməkdaşlığın vacibliyini etiraf etsələr də, ortaq “dilin” və yanaşmanın olmaması beynəlxalq əməkdaşlığı çətinləşdirir. Buna görə ölkələrin kibertəhlükəsizlik termininin ümumi qəbul edilmiş tərifi haqqında razılığa gəlməsi zəruridir. Kibertəhlükəsizliyin etibarlı təmin edilməsi dövlətin təkbaşına imkanları xaricindədir, bu problemin həlli bütün maraqlı tərəflərin – dövlətin, özəl sektorun və vətəndaşların tərəfdaşlığını və əməkdaşlığını tələb edir. Kibertəhdidlərin transsərhəd xarakteri ölkələri kibertəhlükəsizlik sahəsində sıx əməkdaşlığa sövq edir. Kibertəhlükəsizlik strategiyasının beynəlxalq ictimaiyyətin məqsədlərinə zidd olmadığı, qlobal səviyyədə kibertəhlükəsizlik problemləri ilə mübarizəni dəstəklədiyi də analiz edilməlidir.
***
KORPORATİV ŞƏBƏKƏLƏRDƏ KİBERTƏHLÜKƏSİZLİYİN TƏMİN EDİLMƏSİ ÜÇÜN VASİTƏLƏR
Korporativ və dövlət təhlükəsizliyi məsələləri birbaşa olaraq informasiya təhlükəsizliyi, məlumatların qorunması və kompüter şəbəkələri və sistemi məsələləri ilə bağlıdır. Kiber cinayətkarları kütləvidən nöqtəli şəxsi hücumuna çoxdan keçmişlər. Onlar casusluq, pul oğurluğu üçün istənilən imkanlardan istifadə edirlər və informasiyaların əldə olunması üçün fırıldaqla pullar ələ keçirirlər. Qanunsuz hərəkətlər üçün onların imkanları aşağıda qeyd olunanlara görə daha çox yaranır: zəif informasiya təhlükəsizliyi, qorunmayan İnternet elementləri və smartfonlar, təhlükəsizlik üçün ödəniş etmək marağının olmaması və ya ştatda İT – təhlükəsizliyi üzrə ekspert vəzifəsinin olmaması.
Açar sözlər: informasiya təhlükəsizliyi,korporativ şəbəkə,kibertəhlükəsizlik,kompüter sistemləri.
***
ИНСТРУМЕНТЫ КИБЕРБЕЗОПАСНОСТИ В КОРПОРАТИВНЫХ СЕТЯХ
Вопросы корпоративной и государственной безопасности напрямую связаны с информационной безопасностью, защитой данных, компьютерными сетями и системами. Киберпреступники давно перешли от массовых атак к личным атакам типа точка-точка. Они используют любую возможность для шпионажа, кражи денег и мошенничества с целью получения информации. Их потенциал для незаконной деятельности превышает следующее: плохая информационная безопасность, незащищенные элементы Интернета и смартфоны, отсутствие интереса к оплате за безопасность или отсутствие в штате специалистов по ИТ-безопасности.
Ключевые слова: информационная безопасность, корпоративная сеть, кибербезопасность, компьютерные системы.
