Цілі та структура ІБ: тріада конфіденційність — цілісність — доступність

Будь-який захід захисту має відповідати на просте питання: яку саме властивість інформації він зберігає? Якщо відповіді немає — гроші витрачено намарно. Розберемо, навколо чого побудовано всю галузь.

Метою інформаційної безпеки є три властивості

Їх називають тріадою CIA — за першими літерами англійських слів Confidentiality, Integrity, Availability. Усе інше в галузі — похідне від цих трьох.

1. Конфіденційність. Інформацію бачать лише ті, кому дозволено. Порушення: витік клієнтської бази, доступ стороннього до листування. Зберігають: контроль доступу, автентифікація, шифрування, угоди про нерозголошення.

2. Цілісність. Інформація точна й не змінена без дозволу. Порушення: підміна реквізитів у платіжці, тихе редагування записів, програма-вимагач, яка псує файли. Зберігають: контроль версій, журналювання, контрольні суми, розмежування прав.

3. Доступність. Інформація доступна тоді, коли потрібна. Порушення: DDoS, збій сервера, втрата даних без резервної копії. Зберігають: резервні копії, резервування потужностей, безперервність роботи.

Тріада — не вся картина

Класична трійка описує головне, але міжнародні стандарти додають ще кілька властивостей, і на практиці вони важать не менше:

• автентичність — інформація справді від того, хто заявлений як джерело;
• невідмовність — автор дії не зможе згодом заперечити, що зробив її;
• підзвітність — кожну дію можна пов'язати з конкретною особою;
• надійність — система поводиться передбачувано.

Саме невідмовність і підзвітність роблять можливим розслідування. Без журналів, які неможливо непомітно підправити, будь-який розбір інциденту зводиться до взаємних звинувачень. Побутовий приклад невідмовності — електронний підпис: підписант згодом уже не відмовиться від свого підпису, бо ключ був лише в нього.

Основні аспекти інформаційної безпеки: цілі конфліктують

Найважливіше, про що мовчать підручники: три цілі тягнуть у різні боки.

• Найконфіденційніший сервер — вимкнений і залитий бетоном. Доступність нульова.
• Резервні копії підвищують доступність — і водночас знижують конфіденційність: тих самих даних стає більше, лежать вони у більшій кількості місць, і кожне з них треба захищати.
• Сувора перевірка кожної зміни зберігає цілісність — і сповільнює роботу настільки, що бізнес починає шукати обхідні шляхи.

Останнє варте окремої уваги. Якщо захист заважає працювати, люди його обходять: пересилають документи на особисту пошту, заводять «швидкий» чат поза корпоративним, зберігають паролі в записнику. Формально все описано, фактично захисту немає — а керівництво про це навіть не здогадується.

Тому робота служби захисту — не «закрутити гайки», а знайти баланс під реальні ризики бізнесу.

Три властивості на одному прикладі

Найкраще видно на звичайному інтернет-магазині — усі три працюють одночасно й на тих самих даних:

• конфіденційність — платіжні реквізити та контакти покупців не мають потрапити стороннім;
• цілісність — ціна в каталозі має лишатися тією, яку виставив магазин: змінена «трійка» на «одиницю» в ціні означає продаж зі збитком, і жоден фаєрвол цього не помітить;
• доступність — у чорну п'ятницю сайт має відповідати, інакше рекламний бюджет згорить за годину.

Порушення будь-якої з трьох властивостей б'є по грошах — просто різними шляхами.

Пріоритет залежить від галузі

Однакових пропорцій не буває. Порядок важливості визначає те, що станеться при порушенні:

Окремий випадок — критична інфраструктура: енергетика, зв'язок, водоканали. Там на першому місці зазвичай доступність і цілісність керування, бо наслідки вимірюються не штрафом, а зупиненим містом. Українські оператори таких об'єктів живуть із цим щодня.

Звідси проста вправа для керівника: розставте три властивості за пріоритетом для власної компанії. Якщо в різних відділів вийде різний порядок — це нормально й саме так і буває.

Інформаційна безпека: цілі, які можна перевірити

Мета «підвищити захищеність» непридатна для роботи: перевірити її неможливо. Ціль стає керованою, коли отримує число:

• доступність сервісу — не «висока», а конкретний відсоток часу на місяць;
• відновлення після збою — за скільки годин система має запрацювати (RTO) і за який період допустимо втратити дані (RPO);
• виявлення підозрілої активності — за скільки хвилин надходить сигнал;
• закриття критичних вразливостей — за скільки днів після виявлення.

Два показники з цього переліку варто пояснити окремо, бо їх плутають найчастіше. RTO відповідає на питання «за скільки система має піднятися», RPO — «за який період ми готові втратити напрацювання». Компанія з добовим RPO погоджується втратити день роботи; компанія з RPO у чверть години будує зовсім іншу (і значно дорожчу) схему копіювання.

Ці числа й перетворюють гасла на бюджет, план і зону відповідальності конкретної людини.

Звідси й типові помилки: завдання без власника (його нікому виконувати), завдання без числа (його неможливо перевірити), завдання, переписане з чужої політики (воно про чужі ризики), і завдання, яке ніхто не міряє — про нього згадують лише після інциденту.

Розділи інформаційної безпеки: із чого вона складається

Структура інформаційної безпеки виходить далеко за межі «айтішників з фаєрволом». Напрями такі:

• організаційний — політики, процедури, ролі, відповідальність;
• технічний — мережевий захист, шифрування, контроль доступу, моніторинг подій;
• фізичний — приміщення, обладнання, носії, пропускний режим;
• кадровий — навчання персоналу, перевірки, порядок дій при звільненні;
• правовий — відповідність законодавству й договорам;
• управління інцидентами — реагування та відновлення.

Саме такий поділ відображено в заходах ISO 27001, де контролі згруповані в організаційні, людські, фізичні та технологічні. Хто ці напрями наповнює — люди, процеси й технології — розібрано окремо: як усе це забезпечують.

Основні правила інформаційної безпеки

Принципи, які працюють у будь-якій організації, незалежно від розміру й галузі:

• Мінімальні привілеї — кожен має рівно ті права, які потрібні для роботи, і жодного зайвого.
• Ешелонований захист — кілька рівнів замість одного «супербар'єра»: пробили периметр — далі ще сегментація, ще контроль доступу, ще журнали.
• Заборонено все, крім дозволеного — за замовчуванням закрито.
• Розділення обов'язків — критичну дію не виконує одна людина одноосібно.
• Найслабша ланка — рівень захищеності визначає найслабше місце, а воно частіше кадрове, ніж технічне.
• Припускай компрометацію — будуйте систему так, ніби зловмисник уже всередині: тоді з'являються сегментація, моніторинг і план дій.
• Захист за задумом — вимоги закладають на етапі проєктування, а не прикручують до готового продукту, коли переробляти вже дорого.
• Це процес, а не стан — досягнутий рівень тримається лише постійною роботою.

Терміни, якими все це описують — актив, вразливість, залишковий ризик, — розібрано у словнику.