1.1. Xavfsizlik va himoya qilish informatika sohalaridan biri sifatida

Axborotni ishlash, uzatish va to‘plashning zamonaviy usullari rivojlanishi bilan bir qatorda foydalanuvchi ma’lumotlarining yo‘qolishi, buzilishi va oshkor bo‘lishi bilan bog‘liq tahdidlar ham muttasil ortib bormoqda. Bu tasodifiy hodisa emas, balki bir necha obyektiv omilning natijasidir. Birinchidan, tarmoqqa ulangan qurilmalar soni yildan yilga ko‘payib bormoqda: kompyuter va telefonlardan tashqari endilikda kamera, printer, hatto maishiy texnika ham internetga ulanadi, bu esa buzg‘unchi uchun mumkin bo‘lgan kirish nuqtalari sonini oshiradi. Ikkinchidan, tashkilotlar faoliyatining raqamlashtirilishi natijasida qog‘ozda saqlanadigan hujjatlar soni kamayib, ularning o‘rnini elektron ma’lumotlar bazasi egallamoqda, bu esa bir joyda katta hajmdagi qimmatli axborotni to‘playdi va uni jozibali nishonga aylantiradi. Uchinchidan, hujum vositalarining o‘zi ham murakkablashib, ularni qo‘llash uchun chuqur texnik bilim talab etilmay qolmoqda, chunki tayyor zararli dastur va hujum vositalarini internetdan topish nisbatan oson.

Shu sababli kompyuter tizimlari va tarmoqlarida axborot xavfsizligini ta’minlash axborot texnologiyalari fanining yetakchi va mustaqil yo‘nalishlaridan biriga aylandi. Bu yo‘nalish endilikda alohida ilmiy-amaliy soha sifatida shakllangan bo‘lib, o‘zining tushunchalar tizimi, standartlari va tadqiqot metodologiyasiga ega. Axborot xavfsizligi endi faqat yirik korporatsiya yoki davlat tashkilotining ishi emas, balki kichik xususiy korxonadan tortib oddiy foydalanuvchigacha bo‘lgan har bir bo‘g‘inning kundalik ehtiyojiga aylandi.

Axborot xavfsizligi axborotning shunday holati bo‘lib, unga binoan axborotga tasodifan yoki atayin ruxsatsiz ta’sir etishga yoki undan ruxsatsiz foydalanishga yo‘l qo‘yilmaydi. Boshqacha aytganda, bu axborotni texnik vositalar yordamida ishlashda uning maxfiyligi, yaxlitligi va mavjudligi kabi xususiyatlarini saqlab qolish darajasidir. Ta’rifning universalligi shundaki, u axborotning shaklidan, ya’ni elektron, qog‘oz yoki og‘zaki ekanligidan qat’i nazar amal qiladi. Hatto ikki xodim orasidagi shaxsiy suhbat ham, agar unda tijorat siri muhokama qilinsa, axborot xavfsizligi doirasiga kiradi.

Kiberxavfsizlik tushunchasi axborot xavfsizligiga yaqin, biroq undan torroq. CSEC2017 Joint Task Force manbasida kiberxavfsizlikka quyidagicha ta’rif berilgan: kiberxavfsizlik hisoblashlarga asoslangan bilim sohasi bo‘lib, buzg‘unchilar mavjud bo‘lgan sharoitda amallarning to‘g‘ri bajarilishini kafolatlash uchun texnologiya, inson, axborot va jarayonlarni o‘zida mujassamlashtiradi. Tarmoq sohasidagi yirik tashkilotlardan biri bo‘lgan Cisco kompaniyasi esa kiberxavfsizlikni tizim, tarmoq va dasturlarni raqamli hujumlardan himoyalash amaliyoti sifatida ta’riflaydi. Ikkala ta’rifda ham umumiy g‘oya mavjud: buzg‘unchi mavjud bo‘lgan real sharoitda tizimning to‘g‘ri va barqaror ishlashini ta’minlash.

Axborot xavfsizligi sohasi axborotning ifodalanish shaklidan qat’i nazar, ya’ni qog‘oz hujjat, og‘zaki ma’lumot yoki elektron fayl bo‘lishidan qat’i nazar, intellektual mulkni himoyalash bilan shug‘ullanadi. Kiberxavfsizlik esa faqat elektron shakldagi, ya’ni tarmoqdan tortib alohida qurilmagacha bo‘lgan, saqlanayotgan, uzatilayotgan va ishlanayotgan axborotni himoyalashga qaratilgan. Shuningdek, davlat tomonidan moliyalashtiriladigan hujumlar va rivojlangan doimiy tahdidlar, xalqaro amaliyotda Advanced Persistent Threats, qisqartirilgan holda APT deb ataladigan hodisalar ham aynan kiberxavfsizlik doirasiga tegishli. Shu sababli kiberxavfsizlikni axborot xavfsizligining bir tarmog‘i, uning texnik va raqamli qismi sifatida tushunish maqsadga muvofiqdir. Bu farqni tushunish amaliy ahamiyatga ega: masalan, qog‘ozdagi hujjatni seyfda saqlash axborot xavfsizligi choralaridan biri hisoblanadi, ammo u kiberxavfsizlik doirasiga kirmaydi, chunki bu yerda raqamli tizim ishtirok etmaydi.

Kiberxavfsizlik yagona, bo‘linmas soha emas, balki bir-biri bilan chambarchas bog‘liq bo‘lgan bir qancha bilim sohalarining yig‘indisidan iborat. CSEC2017 hujjatida kiberxavfsizlik sakkizta asosiy bilim sohasiga bo‘lingan (1.2-rasm).

Manba: CSEC2017 Joint Task Force (ACM, IEEE-CS, AIS SIGSEC, IFIP, 2017) asosida muallif tomonidan moslashtirilgan.

Ma’lumotlar xavfsizligi sohasining maqsadi ma’lumotlarni saqlash, ishlash va uzatishda himoyani ta’minlashdir. Mazkur bilim sohasida himoyani to‘liq amalga oshirish uchun matematik va analitik algoritmlardan, xususan kriptografik usullardan foydalaniladi. Dasturiy ta’minot xavfsizligi sohasi foydalanilayotgan tizim yoki axborot xavfsizligini ta’minlovchi dasturiy vositalarni ishlab chiqish va ulardan foydalanish jarayoniga e’tibor qaratadi, ya’ni dastur kodini yozishning dastlabki bosqichidayoq xavfsizlik talablarini hisobga olishni nazarda tutadi.

Tashkil etuvchilar xavfsizligi sohasi katta tizimlarga integrallashgan qismlarni loyihalash, sotib olish, testlash va texnik xizmat ko‘rsatishga e’tibor qaratadi. Tizim xavfsizligi bundan farqli o‘laroq nafaqat alohida qismlarning, balki butun tizimning yaxlit ishlashini hisobga oladi, ya’ni tarkibiy qismlar orasidagi o‘zaro ta’sirni ham o‘rganadi. Aloqa xavfsizligi tashkil etuvchilar orasidagi fizik va mantiqiy ulanishni himoyalashga qaratilgan bo‘lsa, inson faoliyati xavfsizligi xodim va shaxsiy hayot sharoitida ma’lumot hamda shaxsiylikni saqlashga e’tibor beradi. Tashkilot xavfsizligi risklarni boshqarish orqali korxona vazifasini muvaffaqiyatli bajarishini madadlaydi, ijtimoiy xavfsizlik esa kiberjinoyatchilik, qonunchilik, axloq va siyosat kabi jamiyatga keng ta’sir etuvchi omillarni o‘rganadi. Ushbu sakkiz soha bir-biridan ajratilgan holda emas, balki yaxlit tizim sifatida amal qiladi: masalan, kuchli kriptografik algoritm ma’lumotlar xavfsizligi doirasida yaratilsa-da, uni noto‘g‘ri joriy etgan xodim, ya’ni inson faoliyati xavfsizligi masalasi, tufayli o‘z ahamiyatini yo‘qotishi mumkin.

Xalqaro amaliyotda axborot xavfsizligining uchta tayanch xususiyati ajratiladi. Ular birgalikda «CIA uchligi» nomi bilan yuritiladi, bu nom inglizcha Confidentiality, Integrity, Availability so‘zlarining bosh harflaridan tashkil topgan (1.3-rasm).

Maxfiylik. axborot yoki uni eltuvchi vositaning shunday holati bo‘lib, undan faqat vakolatli shaxslar tanishishi yoki nusxa ko‘chirishi mumkin, boshqalar uchun bu imkoniyat yopiq bo‘ladi. Maxfiylik axborotni ruxsatsiz o‘qishdan himoyalash bilan shug‘ullanadi. TexnoServis misolida Dilnoza uchun mijozlar bazasining maxfiyligi juda muhim, chunki u bazadagi ma’lumotlarni buzg‘unchi ko‘rmasligini istaydi. Amaliyotda maxfiylikni buzish nafaqat ma’lumotni bevosita o‘qishni, balki uning mavjudligi haqidagi bilimni ham qamrab olishi mumkin: ba’zan hujjatning mazmuni emas, balki uning umuman mavjudligi haqidagi ma’lumot ham qimmatli hisoblanadi.

Yaxlitlik. axborotning buzilmagan, ya’ni qandaydir qayd etilgan holatiga nisbatan o‘zgarmagan shaklda mavjud bo‘lish xususiyati. Yaxlitlik axborotni ruxsatsiz yozishdan, ya’ni o‘zgartirishdan himoyalash yoki kamida o‘zgartirilganligini aniqlash bilan bog‘liq. TexnoServis misolida Anvar buxgalteriya hisobotlarining yaxlitligini ta’minlashi, ya’ni ularga buzg‘unchi tomonidan ruxsatsiz o‘zgartirish kiritilmasligini nazorat qilishi lozim. Yaxlitlik faqat qasddan qilingan o‘zgartirishlarga emas, balki tasodifiy xatolarga, masalan uzatish jarayonidagi nosozlik tufayli ma’lumotning buzilishiga nisbatan ham qo‘llaniladi.

Mavjudlik. vakolatli foydalanuvchi so‘rovi bo‘yicha axborotning tayyor va foydalanish uchun ochiq holatda bo‘lishi xususiyati. Mavjudlik axborot yoki tizimni ruxsatsiz bajarmaslikdan himoyalash bilan shug‘ullanadi. TexnoServis serveriga Dilnozaning ish vaqtida kira olmasligi mavjudlik muammosi hisoblanadi, chunki bunday holatda korxona buxgalteriya hisobotlarini o‘z vaqtida taqdim eta olmaydi. Mavjudlikni izdan chiqarishga qaratilgan eng keng tarqalgan hujum turi xizmat ko‘rsatishdan voz kechishga majburlash hujumidir, bu haqda 1.5-paragrafda batafsil to‘xtalamiz.

Maxfiylik va yaxlitlikni bir xil tushuncha deb bilish keng tarqalgan xato hisoblanadi. Masalan, buzg‘unchi biror hujjatning mazmunini o‘qiy olmagan taqdirda ham uni sezilmaydigan darajada o‘zgartirishi, ya’ni yaxlitlikni buzishi mumkin, maxfiylikka esa tegmasligi mumkin. Aksincha holat ham bo‘lishi mumkin: buzg‘unchi hujjatni o‘qib, uning mazmunidan xabardor bo‘lishi, biroq uni o‘zgartirmasligi mumkin, bu holda faqat maxfiylik buziladi, yaxlitlik esa saqlanib qoladi. Shu bois amaliyotda ikkala xususiyat alohida-alohida baholanadi va ular uchun turlicha himoya choralari ko‘riladi: maxfiylik odatda shifrlash va kirish huquqini cheklash orqali, yaxlitlik esa raqamli imzo va nazorat summasi kabi mexanizmlar orqali ta’minlanadi.

Turli sohalarda axborot xavfsizligiga qo‘yiladigan talablar bir xil emas, chunki har bir soha o‘z faoliyat xususiyatidan kelib chiqib ustuvorlikni belgilaydi. Tibbiyot muassasalarida bemorning tashxis tarixi maxfiy hisoblanadi va unga faqat davolovchi shifokor kirishi mumkin, shu sababli bu yerda maxfiylik birinchi o‘ringa qo‘yiladi. Moliya tashkilotlarida tranzaksiyalarning yaxlitligi ustuvor ahamiyatga ega, chunki hisobdagi raqamning bir birlikka o‘zgarishi ham jiddiy moliyaviy va huquqiy oqibatlarga olib kelishi mumkin. Elektron savdo va onlayn xizmatlarda esa mavjudlik, ya’ni xizmatning uzluksiz ishlashi, muhim ahamiyat kasb etadi, chunki har bir daqiqalik uzilish moliyaviy zarar keltiradi. Ta’lim muassasalarida talaba baholari va imtihon savollarining oshkor bo‘lmasligi asosiy talab hisoblanadi. Shu sababli xavfsizlik siyosatini ishlab chiqishdan avval, aynan qaysi xususiyat, ya’ni maxfiylik, yaxlitlik yoki mavjudlik, muayyan tashkilot uchun eng muhimligini aniqlash zarur bo‘ladi, chunki cheklangan resurslar sharoitida barcha yo‘nalishga bir xil e’tibor qaratish har doim ham mumkin bo‘lmaydi.

Xavfsizlikni faqat texnik masala deb tushunish amaliyotda tez-tez uchraydigan xato hisoblanadi. Zamonaviy yondashuvga ko‘ra, xavfsizlik uchta o‘zaro bog‘liq qatlamdan iborat. Birinchi qatlamni texnik vositalar tashkil etadi: shifrlash algoritmlari, xavfsizlik devori, antivirus dasturlari. Ikkinchi qatlamga tashkiliy choralar kiradi: xavfsizlik siyosati, kirish huquqlarini boshqarish tartibi, muntazam audit. Uchinchi qatlam esa inson omili bilan bog‘liq: xodimlarni o‘qitish, ularda ehtiyotkorlik ko‘nikmasini shakllantirish. Amaliyot shuni ko‘rsatadiki, xavfsizlik hodisalarining katta qismi aynan inson xatosi tufayli yuz beradi: xodim ishonchsiz havolani bosishi, kuchsiz parol tanlashi yoki begona shaxsga ma’lumot berib qo‘yishi mumkin. Shu sababli hech qanday texnik vosita, agar u tashkiliy va inson qatlamlarisiz qo‘llanilsa, to‘liq himoyani kafolatlay olmaydi.

Ushbu uch qatlamning o‘zaro ta’siri quyidagicha misolda yaqqol ko‘rinadi. TexnoServis serverida eng zamonaviy antivirus dasturi o‘rnatilgan bo‘lsin, biroq Dilnoza o‘z parolini stikerga yozib, monitoriga yopishtirib qo‘ysa, texnik vositaning ahamiyati keskin pasayadi, chunki buzg‘unchi parolni ko‘rish orqali texnik himoyani chetlab o‘tadi. Aksincha, xodimlar yuqori xavfsizlik madaniyatiga ega bo‘lsa-da, agar tashkilotda kirish huquqlarini nazorat qiluvchi rasmiy tartib mavjud bo‘lmasa, vaqt o‘tishi bilan haddan tashqari ko‘p odam ortiqcha huquqqa ega bo‘lib qoladi. Shu sababli uch qatlamning barchasi bir vaqtning o‘zida va bir-birini to‘ldiruvchi tarzda rivojlantirilishi kerak. Xavfsizlik bir marta o‘rnatiladigan holat emas, balki texnologiyalar, tahdidlar va tashkilot ehtiyojlari o‘zgarishi bilan birga doimiy takomillashtiriladigan jarayon sifatida qaralishi lozim.