Понятие информационной безопасности: сущность, принципы и ключевые модели

Информационная безопасность — это состояние защищённости жизненно важных интересов личности, общества и государства во информационной сфере. В узком техническом смысле речь идёт о способности системы противостоять воздействиям, ведущим к утечке, искажению или уничтожению данных. Это не просто установка антивируса, а комплексный процесс управления рисками на протяжении всего жизненного цикла информации.

Современный мир генерирует данные в объёмах, измеряемых зеттабайтами. Каждая транзакция, медицинская запись, коммерческая тайна или госсекрет требует гарантий конфиденциальности, целостности и доступности — классической CIA-триады. Нарушение любого из этих атрибутов влечёт финансовые потери, репутационный ущерб или угрозу национальной безопасности.

Историческая эволюция: от физической охраны к кибериммунитету

В 1960-х годах защита сводилась к замкам на серверных и разделению доступа по уровням допуска. Появление ARPANET и первых компьютерных вирусов в 1970–80-х сменило парадигму: периметр стал размытым, а угрозы — удалёнными. Стандарт Orange Book (TCSEC) заложил основы мандатного контроля доступа, актуальных до сих пор.

С развитием интернета фокус сместился на сетевые экраны, IDS/IPS и криптографию. После 2010 года эра APT-атак (продвинутые постоянные угрозы) и облачных инфраструктур потребовала перехода к модели Zero Trust — «никому не доверяй, всегда проверяй». Сегодня на повестке дня — кибериммунитет: архитектура, где компрометация одного компонента не ломает всю систему.

Российский регуляторный путь пролёг через ФЗ-149 (персональные данные), ФЗ-187 (КИИ) и указы о защите Гостайны. К 2026 году обязательна аттестация СЗИ по схемам ФСТЭК и ФСБ для объектов критической информационной инфраструктуры.

⚠️ Внимание: использование неаттестованных средств защиты на объектах КИИ влечёт административную ответственность по ст. 13.12.1 КоАП РФ — штрафы до 500 тыс. руб. для юрлиц.

Объекты и субъекты защиты: что и от кого охраняем

Объектами ИБ являются информационные активы: базы данных, исходный код, техническая документация, персональные данные, коммерческая тайна. Каждому активу присваивается класс конфиденциальности и уровень критичности для бизнес-процессов.

Субъекты делятся на внутренние (сотрудники, администраторы, подрядчики) и внешние (хакеры, конкуренты, спецслужбы, вредоносное ПО). Статистика инцидентов показывает: до 60% утечек инициируются инсайдерами — как злонамеренно, так и по неосторожности.

• 👤 Внутренние инсайдеры — привилегированные пользователи с доступом к чувствительным данным
• 🌐 Внешние атакующие — киберпреступные группы, хактивисты, АПТ-группировки
• 🤖 Автоматизированные боты — сканеры уязвимостей, ботнеты для DDoS, майнеры
• 📱 Устройства IoT — смарт-датчики, промышленные контроллеры, часто без обновлений ПО

Классификация активов по ГОСТ Р 57580

Активы делятся на 4 категории: критически важные (остановка бизнеса > 1 часа), важные (влияние на доход), вспомогательные (внутренние регламенты) и публичные (маркетинговые материалы). Категория определяет набор контрмер и частоту аудита.

Основные угрозы и векторы атак: актуальный ландшафт

Ландшафт угроз меняется еженедельно. По данным Positive Technologies и Solar JSOC, топ-5 векторов 2023–2026 гг.: фишинг (38%), эксплуатация публичных уязвимостей (26%), компрометация учётных записей (19%), цепочки поставок (11%), вредоносное ПО (6%). Рост фишинга на 47% г/г объясняется качеством социнженерии и использованием LLM для генерации писем.

Уязвимости нулевого дня (zero-day) остаются главной болью: среднее время от публикации PoC до массовой эксплуатации сократилось с 32 дней в 2021 до 5 дней в 2026. Пример — Log4Shell (CVE-2021-44228): за 72 часа зафиксировано более 1,8 млн попыток эксплуатации по всему миру.

Атаки на цепочки поставок (supply chain) бьют по доверию к легальному ПО. Компрометация сборщика SolarWinds Orion (SUNBURST) затронула 18 тыс. организаций, включая госучреждения США. В России резонансным стал инцидент с обновлением популярного бухгалтерского софта, через который проникли в сети сотен компаний.

Вектор атаки	Доля инцидентов	Типичные последствия	Среднее время обнаружения
Фишинг / Социнженерия	38%	Компрометация учёток, вымогательство	14 дней
Эксплуатация уязвимостей	26%	RCE, повышение привилегий, утечка БД	21 день
Компрометация учётных записей	19%	Латеральное перемещение, кража IP	29 дней
Цепочки поставок	11%	Массовое заражение, потеря доверия	45+ дней
Вредоносное ПО / Ransomware	6%	Шифрование, утечка, простои	3 дня

⚠️ Внимание: среднее время пребывания атакующего в сети (dwell time) в РФ составляет 56 дней — за это уходит терабайты данных. Внедрение EDR и SIEM с корреляцией событий сокращает этот показатель до 24–48 часов.

Модели защиты: от Bell-LaPadula до Zero Trust

Теоретическая база ИБ опирается на формальные модели. Bell-LaPadula (1973) обеспечивает конфиденциальность через правила «нет чтения вверх, нет записи вниз». Biba (1977) фокусируется на целостности: «нет чтения вниз, нет записи вверх». Clark-Wilson (1987) добавляет коммерческую практичность: разделение обязанностей, аудит, ограниченные транзакции.

Современный стандарт де-факто — Zero Trust Architecture (NIST SP 800-207). Её постулаты: все источники данных — ресурсы; вся коммуникация защищена независимо от сети; доступ выдаётся по сессиям с оценкой контекста (устройство, локация, поведение); политики динамичны и основаны на атрибутах (ABAC).

В российской практике на КИИ применяется модель многоуровневой защиты по руководящим документам ФСТЭК: периметр, сегментация, контроль целостности, аудит, антивирусная защита, управление правами. Соответствие проверяется аттестацией объектов и СЗИ.

Правовое регулирование и стандарты соответствия

В РФ базовый закон — ФЗ-149 «Об информации, информационных технологиях и о защите информации. Он определяет категории защищаемой информации: гостайна, персональные данные, коммерческая тайна, иная охраняемая законом тайна. Для каждой категории — свой режим защиты и ответственность.

Объекты КИИ (ФЗ-187) обязаны создавать СЗИ по требованиям ФСТЭК (порядок № 17/21) и ФСБ (для гостайны). Реестр КИИ ведёт ФСТЭК; на 2026 год в нём более 12 тыс. объектов в 11 отраслях: энергетика, атом, транспорт, банки, связь, здравоохранение и др.

Международные стандарты: ISO/IEC 27001 (СУБИ), ISO/IEC 27002 (контрмеры), NIST CSF (киберрезилиентность), PCI DSS (платёжные данные). Сертификация по ISO 27001 даёт конкурентное преимущество на глобальных тендерах, но не заменяет российские обязательные требования.

• 📜 ФЗ-152 «О персональных данных» — штрафы до 18 млн руб. за утечку ПДн (ст. 13.11 КоАП)
• 🏛 Указ Президента № 250 — переход госорганов на отечественное ПО к 2026 г.
• 🔐 Постановление Правительства № 1623 — требования к СЗИ для КИИ (категории значимости 1–3)
• 🌍 GDPR — экстерриториальное действие при обработке данных ЕС-резидентов

Организационно-технические мероприятия: от политик до SOC

Технические средства бесполезны без процессов. База — политика ИБ, утверждённая руководителем. Она определяет роли (CISO, администраторы, владельцы активов), правила доступа, порядок инцидент-менеджмента, требования к паролям, шифрованию, бэкапам и обучению персонала.

Центр мониторинга безопасности (SOC) — нервная система защиты. Современный SOC объединяет SIEM (корреляция логов), SOAR (автоматизация реакции), UEBA (поведенческая аналитика), TI (threat intelligence). Ключевой KPI — MTTD (среднее время обнаружения) и MTTR (среднее время реагирования).

Обучение персонала — дешёвая и эффективная контрмера. Регулярные фишинг-тренировки, курсы по чистой столе, процедуры сообщения об инцидентах снижают риск инсайдерских инцидентов на 40–60%. Симуляции атак (Red Teaming, Purple Teaming) проверяют готовность SOC в реалистичных условиях.

⚠️ Внимание: отсутствие утверждённой политики ИБ и плана реагирования на инциденты квалифицируется как грубое нарушение требований ФСТЭК для объектов КИИ категории 1–2. Это основа для приостановки деятельности.

Перспективы: ИИ в атаке и защите, постквантовая криптография

Генеративный ИИ меняет правила игры. Атакующие используют LLM для создания полиморфного вредоносного кода, идеальных фишинг-писем, дипфейков голоса/видео для BEC-атак. Защита отвечает: AI-driven SOC с автоматическим триажем алертов, поведенческим анализом без сигнатур, генерацией правил детекта на естественном языке.

Квантовая угроза не гипотетична: алгоритм Шора ломает RSA/ECC на достаточно мощном квантовом компьютере. NIST в 2026 году стандартизировал постквантовые алгоритмы: CRYSTALS-Kyber (KEM), CRYSTALS-Dilithium, FALCON, SPHINCS+ (подписи). Российские ГОСТ Р 34.10/34.11 также готовят квантоустойчивые профили.

Тренд 2026+ — Cyber Resilience Act в ЕС и аналогичные инициативы в РФ: обязательное SBOM (список материалов ПО), уведомление об инцидентах за 24 часа, ответственность производителей ПО за уязвимости. Безопасность становится признаком качества продукта, а не надстройкой.

FAQ: частые вопросы о понятии информационной безопасности

Чем информационная безопасность отличается от кибербезопасности?

Кибербезопасность — подмножество ИБ, фокусирующееся на защите цифровых активов в киберпространстве (сети, облака, эндпоинты). ИБ шире: включает физическую защиту, персонал, правовые аспекты, защиту бумажных носителей и речевой информации.

Обязана ли малая компания внедрять СУБИ по ISO 27001?

Закон не обязывает сертифицироваться по ISO 27001. Но если компания обрабатывает персональные данные или является подрядчиком КИИ — обязательны меры по ФЗ-152 и ФЗ-187. ISO 27001 — добровольный стандарт для системности и доверия клиентов.

Что такое модель угроз и зачем она нужна?

Модель угроз — документ, описывающий реалистичные сценарии атак на конкретный объект: источники, векторы, уязвимости, последствия. Обязательна для аттестации объектов КИИ и СЗИ по ФСТЭК. Без неё невозможно обосновать достаточный набор контрмер.

Как часто нужно проводить аудит информационной безопасности?

Для объектов КИИ — ежегодный внутренний аудит и раз в 3 года внешний (аттестация). Для операторов ПДн — ежегодная самооценка соответствия требованиям ФСТЭК (приказ № 21). Лучшая практика — непрерывный мониторинг + ежеквартальный обзор эффективности контрмер.

Достаточно ли установить антивирус и файрвол для защиты?

Нет. Периметрная защита не спасает от инсайдеров, фишинга, уязвимостей в веб-приложениях, компрометации учётных записей и атак на цепочки поставок. Нужен defence-in-depth: сегментация, MFA, мониторинг аномалий, шифрование, бэкапы, обучение людей и план реагирования.