Субъекты информационной безопасности

Субъект информационной безопасности – это активный участник процессов в деятельности по обеспечению информационной безопасности, воздействующий на объект информационной безопасности независимо от характера этого воздействия: наносящего ущерб, разрушение или противодействующего этому.

Все множество субъектов информационной безопасности, можно разделить на две группы: внешние и внутренние – и каждую из них еще на две: противодействующие и способствующие обеспечению информационной безопасности.

К внешним субъектам, способствующим обеспечению информационной безопасности, относятся органы законодательной, исполнительной и судебной власти федерального уровня, исполнительной и судебной власти субъектов Федерации, органов местного управления, правоохранительные органы, функциональные и отраслевые министерства и ведомства, специально создаваемые органы и организации, координирующие и контролирующие информационные вопросы, банки и иные хозяйствующие субъекты, граждане. При этом, конечно, имеется в виду, что государственные служащие не превышают служебные полномочия и соблюдают законы. Предполагается, что работники соответствующих организаций и граждане также являются законопослушными.

К внешним субъектам, противодействующим обеспечению информационной безопасности, относятся недобросовестные конкуренты, теневые экономические структуры и элементы криминальных структур, другие нарушители законодательства (по разным причинам).

К внутренним субъектам, способствующим обеспечению информационной безопасности, относятся сотрудники и структурные подразделения (в том числе, и специальные), непосредственно осуществляющие деятельность по защите информационной и экономической безопасности хозяйствующего субъекта на основании предоставленных им исполнительным органом предприятия полномочий принимать решения о целях, задачах, средствах и методах обеспечения информационной и экономической безопасности и осуществления их. Здесь тоже имеется в виду, что сотрудники не превышают служебные полномочия и соблюдают законы. К этой группе, строго говоря, относятся все лояльные предприятию сотрудники.

К внутренним субъектам, противодействующим обеспечению информационной и экономической безопасности хозяйствующего субъектов, относятся сотрудники, не удовлетворенные социально-экономической политикой работодателя, а также агенты внешних субъектов, противодействующих обеспечению информационной безопасности.

Сотрудник хозяйствующего субъекта является центральным, ключевым звеном всей совокупности субъектов информационной безопасности, так как он, с одной стороны, выполняет функции по обеспечению экономической безопасности организации в общем и информационной безопасности в частности, а с другой стороны, он может стать источником любой угрозы хозяйствующему субъекту, кроме техногенных угроз, природных катаклизмов, и противодействовать системе экономической безопасности.

Все субъекты угроз информационной безопасности с целью разработки эффективных мероприятий защиты классифицируются в соответствии со следующими критериями: уровень знания автоматизированных систем обработки данных; применяемые методы; время действия; место действия.

По уровням знания автоматизированной информационной системы субъекты угроз делятся на четыре группы:

1) обладают знаниями функциональных особенностей автоматизированной информационной системы, умеют формировать запросы в нестандартных массивах данных и потоков и пользоваться штатными средствами;

2)  обладают высоким уровнем знаний и опытом работы с техническими средствами системы и ее обслуживания;

3) обладают необходимым уровнем знаний в области программирования и вычислительных технологий, проектирования и эксплуатации автоматизированных информационных систем;

4) знают структуру, функции и механизмы действия средств защиты, их слабые и сильные стороны.

По применяемым методам субъекты угроз делятся на четыре группы лиц, использующих:

1) только агентурные методы получения информации;

2) пассивные методы и способы получения информации (технические средства перехвата без модификации компонентов системы);

3) только штатные средства и недостатки системы защиты;

4) активные методы и способы воздействия на систему с целью получения или изменения информации (модификация и подключение дополнительных технических устройств).

По времени действия субъекты можно представить тремя группами лиц, действующих:

1) во время функционирования автоматизированной информационной системы;

2) во время, когда система не функционирует;

3) в любое время – как рабочее, так и нерабочее.

По месту действия субъекты угроз делятся на шесть групп:

1) не имеющие доступа в организацию;

2) не имеющие доступа в здание;

3) не имеющие доступа к техническим средствам автоматизированной информационной системы;

4) имеющие доступ с рабочих мест конечных пользователей;

5) имеющие доступ в базы данных, архивы;

6) имеющие доступ в зону управления средствами обеспечения безопасности автоматизированной информационной системы.