3.1. Axborot xavfsizligi kontseptual modelining tarkibiy qismlari

Model — bu murakkab voqelikning soddalashtirilgan, ammo asosiy xususiyatlarini saqlab qolgan tasviri. Muhandislar ko'prik qurmasdan avval uning loyihasini tuzadi, me'morlar binoni qurmasdan avval chizmasini tayyorlaydi. Axborot xavfsizligida ham xuddi shunday yondashuv qo'llaniladi: himoya tizimini qurmasdan avval kontseptual model shakllantiriladi. Axborot xavfsizligining kontseptual modeli tashkilotda nima himoyalanayotgani, qanday holatda, qaysi tahdiddan va qanday choralar orqali himoyalanishini ko'rsatuvchi umumiy, abstrakt tasvirdir. Bu model muhandisning chizmasi kabi: loyiha haqiqiy binoga to'g'ri kelmaydi, biroq u binoni tushunish va qurish uchun zarur.

Kontseptual model bir necha amaliy vazifani bajaradi. Birinchidan, u tashkilotga o'zining axborot aktivlarini va ular orasidagi bog'liqliklarni ko'rish imkonini beradi. Ikkinchidan, u tahdid tahlilini tizimli o'tkazishga yordam beradi: modelda bo'sh joy yo'q bo'lsa, qaysidir muhim jihat e'tibordan chetda qolishi mumkin. Uchinchidan, model muloqot vositasi sifatida ham xizmat qiladi: turli xodimlar, masalan Sardor tarmoq muhandisi va Nodira mijozlarga xizmat ko'rsatish menejeri, bir xil kontseptual tizim doirasida muloqot qilishadi. To'rtinchidan, model tasdiqlash mezoni bo'lib xizmat qiladi: joriy etilgan himoya chorasi kontseptual model talablariga javob beradimi, yo'qmi, degan savolni tekshirish imkonini beradi.

Axborot xavfsizligidagi eng mashhur kontseptual modellardan biri John McCumber tomonidan 1991-yilda NISSC (National Information Systems Security Conference) konferensiyasida taqdim etilgan va keyinchalik 2004-yilda nashr etilgan. McCumber kubi (inglizcha McCumber Cube) axborot xavfsizligini uch mustaqil o'q asosida tasvirlaydi (3.2-rasm).

Manba: J. McCumber, "Assessing and Managing Security Risk in IT Systems" (Auerbach Publications, 2004) asosida muallif tomonidan tuzilgan.

Birinchi o'q axborot holatlari deb ataladi va axborotning texnik jihatdan uchta ko'rinishini ifodalaydi. Saqlash holatida axborot ma'lumotlar bazasi, qattiq disk yoki boshqa saqlash qurilmasida joylashgan bo'ladi. Uzatish holatida axborot tarmoq orqali bir nuqtadan boshqasiga yuborilmoqda. Ishlash holatida axborot operativ xotiraga yuklangan bo'lib, dastur yoki jarayon tomonidan qayta ishlanmoqda. Ushbu uchala holat bir-biridan farqli xavf-xatarlarga ega: saqlashdagi axborotga jismoniy yoki mantiqiy kirish yo'li bilan hujum qilinishi mumkin bo'lsa, uzatishdagi axborotni tinglash yoki o'zgartirish mumkin, ishlanayotgan axborot esa xotira hujumlari orqali ta'sirga uchrashi mumkin.

Ikkinchi o'q xavfsizlik xizmatlari deb ataladi va axborot xavfsizligining klassik CIA uchligini ifodalaydi: maxfiylik, yaxlitlik va mavjudlik. Birinchi bobda bu tushunchalar batafsil ko'rilgan edi. McCumber modelida ularning yangi ahamiyati shuki, har bir xavfsizlik xizmati axborotning uchala holatiga ham mustaqil ravishda qo'llanilishi lozim. Masalan, axborot saqlash holatida maxfiy bo'lishi va uzatish holatida ham maxfiy bo'lishi kerak, bu ikki holat uchun turlicha texnik choralar qo'llaniladi.

Uchinchi o'q himoya choralari deb ataladi va xavfsizlikni ta'minlovchi vositalar uch guruhga bo'linadi. Texnologiya guruhiga apparat va dasturiy xavfsizlik vositalari kiradi: shifrlash algoritmlari, xavfsizlik devori, antivirus. Siyosat va amaliyot guruhiga qoidalar, tartiblar va protseduralar kiradi: kirish nazorati siyosati, hodisaga javob berish rejasi, audit tartibi. Ta'lim, o'qitish va xabardorlik guruhiga xodimlarni o'qitish va xavfsizlik madaniyatini shakllantirish kiradi. McCumberning asosiy g'oyasi shundaki, uchta o'q bo'yicha barcha kombinatsiyalar, jami 27 ta katak, uchun himoya chorasi mavjudligi tekshirilishi kerak. Agar biron-bir katak bo'sh qolsa, u potensial zaiflikka aylanadi.

AloqaTarmoq uchun McCumber kubini qo'llaylik. Nodira mijozlar bazasi, ya'ni saqlash holatidagi axborot, uchun maxfiylikni ta'minlash maqsadida shifrlash, texnologiya chorasi, va kirish huquqlarini boshqarish siyosatini joriy etishi kerak. Ayni paytda bu ma'lumot tarmoq orqali uzatilayotgan paytda ham, masalan mijoz to'lov ma'lumotlari billing tizimiga yuborilayotganda, uchala himoya cho'lasini saqlab qolish zarur. Biror holatda bir chora ko'rilmasa, zaiflik vujudga keladi.

McCumber kubidan tashqari, kontseptual modellarning umumiy tarkibiy qismlarini ajratish zarur. Ular axborot xavfsizligi sohasidagi barcha modellar uchun umumiy asosni tashkil etadi (3.3-rasm).

Manba: B. Schneier, "Secrets and Lies" (Wiley, 2000) va Makarenko I.V. (2017) manbalariga asosan muallif tomonidan tuzilgan.

Sub'ekt. axborotga murojaat qiluvchi har qanday faol element: foydalanuvchi, dastur, jarayon yoki qurilma. Sub'ektlar ikki toifaga bo'linadi: qonuniy sub'ektlar, ya'ni ruxsat berilgan shaxs va tizimlar, hamda ruxsatsiz sub'ektlar, ya'ni buzg'unchilar. AloqaTarmoq misolida Sardor va Nodira qonuniy sub'ektlar, buzg'unchi esa ruxsatsiz sub'ekt hisoblanadi.

Ob'ekt. himoyalanadigan axborot yoki resurs: fayl, ma'lumotlar bazasi, qurilma, xizmat yoki hatto boshqa sub'ekt. Ob'ekt passiv element bo'lib, sub'ektdan murojaat kutadi. AloqaTarmoq uchun mijozlar bazasi asosiy himoyalanadigan ob'ekt hisoblanadi.

Kirish. sub'ektning ob'ektdan foydalanish urinishi. Kirish qonuniy yoki ruxsatsiz bo'lishi mumkin. Kirish nazorati, ya'ni kim va qaysi ob'ektdan qanday foydalanishi mumkinligini belgilash, axborot xavfsizligining markaziy vazifalaridan biridir.

Tahdid. ob'ektga zarar yetkazish ehtimolini bildiruvchi holat. Tahdid tarkibiy qismlarida tahdid manbai, ya'ni kim hujum qilishi mumkin; tahdid agenti, ya'ni qanday vosita orqali; hamda tahdid oqibati, ya'ni qanday zarar ko'rilishi kiradi.

Himoya chorasi. tahdid amalga oshishining oldini olish yoki ta'sirini kamaytirish uchun ko'riladigan chora. Himoya choralari profilaktik, aniqlash va tiklash choralari sifatida tasniflash mumkin.

Ushbu besh tarkibiy qism o'zaro bir-biri bilan bog'liq. Sub'ekt ob'ektga murojaat qilganda kirish yuzaga keladi. Agar bu kirish ruxsatsiz bo'lsa, tahdid amalga oshadi. Himoya chorasi esa kirish nuqtasida, tahdid yo'lida yoki oqibatlarni yumshatish bosqichida amal qiladi. Kontseptual model aynan ushbu bog'liqliklarni ko'rsatadi va tashkilotga himoya tizimini tizimli ravishda qurish imkonini beradi.