3.4. Axborot xavfsizligi maqsadlari
Asosiy maqsadlar: CIA uchligidan tashqarida
Birinchi bobda CIA uchligi, ya'ni maxfiylik, yaxlitlik va mavjudlik, batafsil ko'rilgan edi. Biroq zamonaviy axborot xavfsizligi, ayniqsa tarmoq va elektron tijorat sohasida, uchta asosiy maqsaddan tashqari bir nechta qo'shimcha maqsadlarni ham o'z ichiga oladi. Bu kengaytirilgan maqsadlar NIST, ISO/IEC 27000 va ITU-T X.805 kabi standartlarda rasmiylashtirilgan. Ushbu qo'shimcha maqsadlarning paydo bo'lishi texnologiyaning rivojlanishi va yangi tahdid turlarining paydo bo'lishi bilan bog'liq: masalan, elektron imzo va onlayn tranzaksiyalarning keng tarqalishi rad etmaslik (non-repudiation) maqsadini muhim qildi.
Kengaytirilgan maqsadlar
Maqsad | Ta'rifi | Misol | Himoya vositasi |
|---|---|---|---|
Maxfiylik | Axborotdan faqat vakolatli shaxslar foydalana olishi | Mijoz shartnomasini faqat mas'ul menejer ko'rishi | Shifrlash, kirish nazorati |
Yaxlitlik | Axborot ruxsatsiz o'zgartirilmasdan saqlanishi | Mijoz tarif rejasi ma'lumotining o'zgartirilmasligi | Raqamli imzo, nazorat summasi |
Mavjudlik | Tizim va axborot zarur paytda ochiq bo'lishi | Favqulodda holatda tarmoq monitoring tizimiga kirish | Zaxira tizim, UPS |
Autentiklik | Axborot yoki foydalanuvchi haqiqatan kim ekanligining tasdiqlanishi | Shifokor kimligining tizimda tasdiqlanishi | Ikki bosqichli tasdiqlash, PKI |
Rad etmaslik | Bajarilgan amaldan voz kechib bo'lmasligi | Operatorning mijoz shartnomasiga kiritgan o'zgarishni inkor eta olmasligi | Raqamli imzo, audit jurnali |
Ishonchlilik | Tizimning kutilgan vazifani izchil bajarishi | Laboratoriya tizimining har doim to'g'ri natija berishi | Tekshiruv, validatsiya |
Maxsuslik | Ma'lumotning faqat mo'ljallangan maqsad uchun ishlatilishi | Bemor ma'lumotining marketing maqsadida ishlatilmasligi | Ma'lumot minimallashtirish |
Autentiklik va rad etmaslik maqsadlarining ahamiyati
Autentiklik, inglizcha authenticity, axborot, foydalanuvchi yoki qurilmaning haqiqatan da'vo qilingan kimlik bilan mos ekanligini kafolatlaydi. U autentifikatsiya jarayonining maqsadi hisoblanadi: foydalanuvchi kim ekanligini tasdiqlamasdan, uning kirish huquqini belgilashning iloji yo'q. AloqaTarmoq misolida sistemaga kiruvchi operator haqiqatan shu operatormi yoki kimdir uning nomidan kirmoqchimi degan savolga javob berish autentiklik maqsadining mohiyatidir.
Rad etmaslik, inglizcha non-repudiation, bajarilgan amalning isbotini saqlab, uni keyinchalik inkor etib bo'lmasligini ta'minlaydi. Bu maqsad elektron tijorat, moliyaviy hisob-kitob va yuridik muhitlarda ayniqsa muhim. Agar AloqaTarmoq tizimlari qaysi operator qaysi mijozga qaysi tarif rejasini belgilaganini isbotli tarzda qayd qilmasa, nizoli holatlarda javobgarlikni aniqlashning iloji bo'lmaydi. Raqamli imzo ushbu maqsadni ta'minlovchi asosiy texnik vosita hisoblanadi: imzo faqat muayyan shaxsga tegishli shaxsiy kalit orqali hosil bo'lib, uni keyinchalik inkor etib bo'lmaydi.
Maqsadlar ierarxiyasi: strategik, taktik va operativ
Axborot xavfsizligi maqsadlari tashkilotning umumiy maqsadlari bilan uyg'unlashtirilishi kerak. Bu maqsadlarni uch darajaga ajratish qulay: strategik, taktik va operativ. Strategik daraja tashkilotning uzoq muddatli yo'nalishini belgilaydi: AloqaTarmoq uchun bu «mijozlar ma'lumotlari doimo xavfsiz va to'g'ri bo'lsin» kabi yuqori darajadagi maqsad. Taktik daraja strategik maqsadni amalga oshirish uchun qabul qilinadigan siyosat va tartiblarni belgilaydi: «Barcha foydalanuvchilar ikki bosqichli tasdiqlashdan o'tishi shart». Operativ daraja esa kundalik texnik amallarni o'z ichiga oladi: «Har kuni soat 02:00 da zaxira nusxa olinadi».
Maqsadlar ierarxiyasini tushunishning amaliy ahamiyati shundaki, past darajadagi texnik qaror yuqori darajadagi maqsad bilan izchil bo'lishi kerak. Masalan, Nodira tizim ishlashini tezlashtirish uchun shifrlashni o'chirib qo'ysa, bu operativ darajadagi qaror AloqaTarmoqning strategik darajadagi maxfiylik maqsadiga zid keladi. Bunday qarorlar kontseptual model va maqsadlar ierarxiyasi doirasida baholanishi zarur.
Amaliy misol
AloqaTarmoq yangi veb-sayt orqali onlayn tarif rejasiga ulanish xizmatini joriy etmoqda. Shifrlash (maxfiylik), ma'lumotlarning to'g'riligi (yaxlitlik), saytning uzluksiz ishlashi (mavjudlik), foydalanuvchi haqiqatan ro'yxatdan o'tgan mijoz ekanligi (autentiklik) va onlayn buyurtma berilganda uni inkor etib bo'lmasligi (rad etmaslik) kabi barcha kengaytirilgan maqsadlarni bir vaqtda hisobga olish kerak. Bu misol kengaytirilgan maqsadlarning bir-biridan alohida emas, balki birgalikda ta'minlanishi zaruratini ko'rsatadi.
Kasbiy vaziyat
AloqaTarmoq bosh hisobchisi Sabina moliyaviy hisobot tizimiga biror o'zgartirish kiritdi. Keyinroq muammo aniqlanganda, Sabina bu o'zgartirishni o'zi qilganini inkor etdi. Qaysi xavfsizlik maqsadi ta'minlanmagan va uni ta'minlash uchun qanday texnik vositani tavsiya qilasiz?
Amaliy topshiriq
Nazorat savollari
- 1CIA uchligiga qo'shimcha qanday kengaytirilgan maqsadlar mavjud?
- 2Autentiklik va autentifikatsiya tushunchalari qanday bog'liq?
- 3Rad etmaslik maqsadi qaysi sohalarda ayniqsa muhim va nima uchun?
- 4Axborot xavfsizligi maqsadlarining strategik, taktik va operativ darajalari bir-biridan qanday farqlanadi?
- 5Operativ darajadagi texnik qaror strategik maqsadga qanday ta'sir ko'rsatishi mumkin? Misol keltiring.