Інформаційна безпека як сфера національної/корпоративної/особистої безпеки

📌 Про що ця тема

Тут перевіряють розуміння, що таке інформаційна безпека та на яких трьох рівнях вона діє: національному, корпоративному й особистому. Ключове поняття — захист інформації за трьома властивостями: конфіденційність, цілісність, доступність (модель CIA). Треба вміти розрізняти загрози, типи інформації з обмеженим доступом та базові засоби захисту.

📖 Головне

• Інформаційна безпека — стан захищеності інформації та інформаційних систем, за якого забезпечується її конфіденційність, цілісність і доступність.

• Три властивості (тріада CIA): конфіденційність — доступ лише для уповноважених; цілісність — незмінність і достовірність даних; доступність — можливість отримати дані тоді, коли потрібно.

• Національний рівень: захист державних інформаційних ресурсів, критичної інфраструктури (енергетика, банки, звʼязок), протидія кібератакам на держоргани, дезінформації.

• Корпоративний рівень: захист комерційної таємниці, персональних даних клієнтів, баз даних, фінансової інформації компанії.

• Особистий рівень: захист персональних даних, паролів, листування, банківських даних, приватності в соцмережах.

• Загрози поділяють на: природні (пожежа, стихійне лихо) і штучні; штучні — на навмисні (хакерські атаки, крадіжка) та ненавмисні (помилка користувача).

• Типові загрози: шкідливе ПЗ (віруси, трояни, черв'яки), фішинг, соціальна інженерія, несанкціонований доступ, DDoS-атаки, витік даних.

• Засоби захисту: організаційні (правила, інструкції, навчання), технічні (антивірус, фаєрвол, резервне копіювання) та криптографічні (шифрування, електронний підпис).

• Автентифікація — підтвердження особи (логін+пароль); авторизація — надання прав доступу; ідентифікація — повідомлення, хто ти.

• Двофакторна автентифікація (2FA) — підтвердження входу двома способами (пароль + код у застосунку/SMS).

• Персональні дані — відомості про конкретну людину (ПІБ, адреса, телефон), їх збір і обробка регулюються законом.

🔢 Як це працює на прикладі

Приклад 1. Користувач отримав лист нібито від банку з посиланням «підтвердіть пароль». Це фішинг (соціальна інженерія). Порушується конфіденційність, якщо жертва введе дані. Правильна дія: не переходити за посиланням, зайти на сайт банку вручну, увімкнути 2FA.

Приклад 2. У компанії зашифрували всі файли вірусом-вимагачем. Порушено доступність (файли недоступні) і цілісність. Рятує заздалегідь зроблене резервне копіювання — відновлюють дані з бекапу без сплати викупу.

⚠️ Типові помилки

• Плутають конфіденційність і цілісність: конфіденційність — хто бачить, цілісність — чи не змінено дані.

• Плутають автентифікацію і авторизацію: спершу система впізнає особу (автентифікація), потім дає права (авторизація).

• Вважають, що інформаційна безпека — лише технічні засоби; організаційні заходи й людський фактор не менш важливі.

• Фішинг помилково відносять до вірусів — це метод обману (соціальна інженерія), а не програма.

• Думають, що антивірус гарантує повний захист — він не рятує від фішингу й слабких паролів.

🎯 Що завчити напамʼять

• Тріада: конфіденційність, цілісність, доступність.

• Три рівні: національний, корпоративний, особистий.

• Ланцюг доступу: ідентифікація → автентифікація → авторизація.

• Класифікація загроз: природні/штучні; навмисні/ненавмисні.

• Групи засобів: організаційні, технічні, криптографічні.

• 2FA = два різні фактори підтвердження.

🧠 Перевір себе

1. Яку властивість інформації порушує вірус-вимагач, що шифрує файли?

2. Чим автентифікація відрізняється від авторизації?

3. До якого типу загроз належить фішинг?

4. Назви три рівні інформаційної безпеки.

Відповіді: 1 — доступність (і цілісність); 2 — автентифікація підтверджує особу, авторизація надає права доступу; 3 — штучна навмисна загроза, метод соціальної інженерії; 4 — національний, корпоративний, особистий.