Источники угроз

Про то, кого/что защищать, т.е. про объекты защиты (и их отличие от объектов безопасности) речь шла в предыдущей статье рубрики. Здесь речь пойдёт о том, от чего принято и от чего/кого следует защищать и защищаться, т.е. об источниках угроз.

  Что такое «источник угроз»? Что понимается сегодня под этим термином и что следует понимать? В «ГОСТ Р 50922-2006. Защита информации. Основные термины и определения»  дано такое определение: «источник угрозы безопасности информации: Субъект (физическое лицо, материальный объект или физическое явление), являющийся непосредственной причиной возникновения угрозы безопасности информации» [1]. Отбросив всё лишнее, получим: источник угрозы – причина возникновения угрозы?! Чтобы не называть вещи своими именами (а имена эти, понятно, будут не очень лицеприятными), прибегну в очередной раз к приёму аналогии. Так вот, сказать, что «источник угроз – это причина возникновения угрозы», это то же самое, что сказать, что источник нарзана – это причина возникновения нарзана!? Кому и после этого примера не стала очевидной абсурдность определения «источника угроз безопасности информации»(1) , конституированная российским законодательством, пусть либо ещё раз перечитает и поглубже вдумается в написанное выше, либо напишет мне письмо по электронной почте. Я постараюсь придумать другой пример, попроще и понагляднее.

В законе «О безопасности» от 05.03.1992г. № 2446-1 в качестве источников угроз были перечислены: деятельность различных структур и  средств, стремление стран, обострение конкуренции, разработка концепций, критическое состояние промышленности, неразвитость институтов, недостаточное финансирование и т.д. и т.п. Очевидно, что это разносущностные понятия – функции, свойства, состояния, которые никак не могут быть «источниками». К тому же закон этот в 2010 году отменён и заменён новым [2], в котором ничего подобного уже нет. Но и не подобного тоже нет. Можно сказать, что в нём вообще ничего нет, кроме полномочий, статуса и задач должностных лиц и органов государственной власти, т.е. ни определения понятия «безопасность», ни объектов, ни субъектов безопасности, ни источников угроз.

В конце 2013 года Президентом РФ был подписан документ под названием «Основы государственной политики РФ в области международной информационной безопасности на период до 2020 года» [3], в котором в качестве основной угрозы для РФ названо использование информационных и коммуникационных технологий в качестве информационного оружия. Если главная угроза – «использование», то что является, по мнению российского законодателя,  источником угроз? Информационные и коммуникационные технологии? Но технология – это методика, способ применения чего-либо. Может методика или способ быть источником угроз? Или российский законодатель главным источником информационных угроз считает информационные и коммуникационные средства? Или тех, кто эти средства применяет? Ответа на эти вопросы в указанном документе нет.

Давайте попробуем разобраться сами. Для начала зададимся вопросом, что же вообще называют «источником». Словари, например, дают такое определение термина «источник»:

1) место, где что-либо рождается, появляется, начинает своё распространение;

2) небольшой естественный водоём, струя воды, выходящая на поверхность из земли [4].

Получается, что источником  мы называем, например, струю воды, выходящую на поверхность. Но для того, чтобы струя воды вышла на поверхность, необходимо, чтобы под поверхностью был водоём и сложились определённые условия (трещина в скале, расщелина в грунте плюс повышенное давление на воду), позволившие воде из этого водоёма выбраться наружу, стать доступной для нас. Другими словами, в наиболее обобщённом виде это можно представить следующим образом: источником мы называем совокупность материального объекта и условий доступа к нему. Так, например, мы не будем называть источником подземное озеро, если в горе, внутри которой оно находится, нет трещины, через которую вода из этого озера вытекает наружу. Точно так же мы не будем называть источником трещину в скале, если из неё не течёт вода, т.е. если внутри нет никакого озера. Другими словами, чтобы нечто называлось источником чего-то, между этим что-то и условиями доступа к нему должны существовать отношения конъюнкции (логического умножения):

Источник = (объект) & (условия доступа).

Поэтому, если нет одного из этих двух компонентов, то нет и источника! Или так: ничто не может называться источником, если нет того, что может течь, и нет того, через что это нечто вытекает.

С источником, вроде бы, разобрались. Теперь обратим свой взор на «угрозы». Советский энциклопедический словарь так определяет это понятие: угроза – высказанное в любой форме намерение нанести физический, материальный или иной вред общественным или личным интересам [5 , с. 1368]. В этом определении можно выделить два обстоятельства:

1) угроза должна быть высказана (шире – проявлена, продемонстрирована);

2) должна выражать намерение причинить объекту вред(2).

Как я уже отмечал, сегодня понятие угроза трактуется максимально широко, как проявленные объектом (субъектом) желания или возможности причинить вред объекту воздействия [6 , с. 18].

На языке логики это звучит так: отношения конъюнкции между объектом и условиями доступа к нему заменены отношениями нестрогой дизъюнкции («и» заменено на «или», т.е. «&» на «v»). Другими словами, источником угроз теперь называется объект или субъект, имеющий возможность или (т.е. не обязательно) желание причинить объекту защиты вред. При этом абсолютно неважно, демонстрирует (высказывает, проявляет) объект или субъект эти желания и возможности или нет. Более того, наши т.н. «регуляторы» к источникам угроз стали причислять именно и только то/тех, что/кто может иметь возможности причинить вред объекту защиты, расширив таким образом объём понятия «источники угроз» до бесконечности. Ведь вред может причинить всё, что угодно. При таком подходе перечень источников угроз ограничивается только фантазией исследователя.

Конечно, не всё и не всегда демонстрирует свои желания и возможности причинить кому-то вред. Желания (да и возможности) могут тщательно скрываться, т.е. быть латентными. Но они пренепременно должны каким-либо образом проявляться, объективироваться. Например, Госдеп США может убеждать весь Мир в том, что никого не слушает и никого и ничего не контролирует. Но реальные дела, информация о которых нет-нет, да и появляется, говорят об обратном. Или наши «оборотни в погонах». Организации, которые они представляют, de iure призваны защищать граждан России от всех возможных напастей, а de facto получается, что они наносят максимально возможный ущерб гражданам и бизнесу, т.е. являются источниками наиболее часто реализуемых и наиболее существенных угроз.

Но бывают и обратные ситуации. То есть, не всякий объект (субъект), демонстрирующий (высказывающий) угрозы следует причислять к «источникам угроз». Как, например, у А.С.Пушкина: «Шалун уж отморозил пальчик. Ему и больно, и смешно, а мать грозит ему в окно». Угроза налицо, источник тоже. Но является ли мать этого шалуна источником реальной угрозы? Сопряжена ли такая угроза с опасностью? Скорее наоборот! Эта угроза – предупреждение, призыв к действию, имеющему своей конечной целью спасти объект воздействия от гораздо больших неприятностей, от настоящей опасности. Или довольно часто можно услышать такую фразу: «Если ты не пропылесосишь (не сделаешь уроки, не отремонтируешь кран и т.д.), я тебя убью!». Или: «Если ты не купишь мне эту шубу (машину, компьютер, телефон и т.д.) я умру (застрелюсь, повешусь, отравлюсь и т.п.). Опять угроза налицо. И источник угрозы в наличии. Но стоит ли источники таких угроз относить к категории «источники угроз»? Думается, что нет.

По перечисленным причинам я считаю, что необходимо различать понятия «источник угроз» и «источник опасности». Источников угроз много. В пределе – весь окружающий мир. Но все ли они в данный момент имеют возможность или желание (а тем более намерение) причинить вред? Конечно же, нет! Угрожают многие, реализовать угрозы, т.е. перейти в атаку (совершить нападение) могут десятки, а хотят причинить вред и делают это только единицы.

Соотношение «источников угроз» и «источников опасности» наглядно демонстрирует соотношение грома и молнии. Гром – источник угрозы, молния – источник опасности.

Графически эту же мысль можно выразить и так, как представлено на рис.1.

Рис. 1. Соотношение «источников угроз» и «источников опасности».

Более того, к источникам опасности следует относить только те объекты и тех субъектов, вероятность причинения вреда и его возможные размеры со стороны которых, превышают некую пороговую – субъективно установленную исследователем, но объективно отражающую последствия деструктивного воздействия на объект защиты – величину.

Понятно, что и количество, и перечень источников опасностей для каждого объекта безопасности будут сугубо индивидуальны. И зависеть это будет, в первую очередь, от самого объекта безопасности, от его характеристик. Если этот объект, например, информация, то количество и перечень источников опасностей будут определяться ценностью данной информации для определённого круга субъектов, а также свойствами носителя, на котором она размещена, и средств, при помощи которых она обрабатывается и передаётся. Если объектом безопасности является субъект, то самым главным источником опасностей  для него будет он сам [об этом подробнее в  7], а количество внешних угроз будет определяться его способностями «искать приключения» (т.е. рисковать) и «наживать себе врагов» (т.е. плодить желающих причинить ему вред), а также способностями противодействовать тем, кто может нанести ему существенный вред (т.е. его стойкостью к деструктивным воздействиям и способностью избегать нападений) и, наконец, наличием и качеством системы защиты.

Необходимо также иметь в виду, что термин «источник опасности» в отличие от термина «источник угроз» является идиоматическим оборотом. Угроза может рождаться, появляться, начинать своё распространение там, где есть объект или субъект, исходить от них. Опасность же не может ни рождаться, ни распространяться, ни исходить. Опасность – это ситуация, т.е. сочетание условий и обстоятельств, создающих обстановку, положение, при котором объекту защиты может быть причинён вред [8 , с. 10]. Ситуация может сложиться, в крайнем случае, возникнуть. В ситуацию можно попасть, что чаще всего и происходит с объектами защиты/безопасности. Они именно попадают в ситуации, при которых им может быть причинён значимый вред. Поэтому корректное определение понятия «источник опасности» будет выглядеть, примерно, так:

Источник опасности – объект или субъект, отношения и связи с которым могут привести к созданию ситуации, при которой объекту защиты с высокой степенью вероятности может быть причинён вред в размерах, превышающих субъективно установленный анализирующим ситуацию субъектом предел.

Чтобы не писать каждый раз эту довольно длинную фразу, целесообразно употреблять короткий термин «источник опасности». Но при этом, как я отметил выше, нужно хорошо представлять, что он обозначает и как его следует правильно понимать.

Особо следует остановиться на вопросе классификации источников угроз. Понятно, что, как и любое другое понятие, «источники угроз» можно классифицировать по разным основаниям (т.е. делить по разным признакам). Некоторые специалисты, например, делят источники угроз на антропогенные, техногенные, стихийные [9]. При наличии в этой классификации рационального начала в целом она не может быть признана удачной. Так, пожары, согласно данной классификации подлежащие отнесению к категории «стихийные», могут иметь как антропогенное, так и техногенное происхождение. А такие источники угроз уничтожения информации (информационных объектов), как грибок, плесень или коррозия, вообще в ней отсутствуют.

Я считаю, что на уровне онтологии угрозы целесообразно делить на:

1)    антропогенные  (т.е. исходящие от человека);

2)    техногенные (т.е. исходящие от технических средств);

3)    фюсиогенные (природные, исходящие от фюсиса (3), т.е. природы).

Источниками угроз (равно, как и источниками опасностей) при этом будут соответственно:

1) человек;

2) техника;

3) природа.

Отношения между источниками угроз для наглядности можно изобразить так, как это представлено на рис. 2.

 Рис. 2. Взаимоотношения групп источников угроз. 

Все три группы источников угроз связаны отношениями взаимного влияния по двум прямо противоположным направлениям – прямом и обратном.

Прямое влияние:

- человек создаёт технику, управляет ею и часто служит причиной техногенных аварий;

- техника влияет на природу, видоизменяя её: «отбирает» территорию, увеличивает вредные выбросы, создаёт побочные электромагнитные излучения и т.п.;

- природа влияет на человека изменениями климата, ухудшением экологии, стихийными бедствиями, новыми болезнями и т.д.

Обратное влияние:

- человек воздействует на природу, вырубая леса, перенаправляя реки, разгоняя тучи, генерируя снег и т.д.;

- природа «требует» всё новой техники для нивелирования природных изменений, восстановление и улучшения условий жизнедеятельности человека;

- новая техника «требует» от человека новых качеств и служит источником новых проблем, которые при неправильной реакции на них становятся угрозами человеку и человечеству.

Эту классификацию можно продолжить и от типов источников угроз (опасностей) перейти к видам (примерно так, как это представлено в табл. 1), подвидам и т.д.

№ пп	Тип источника угроз	Методы объективации угроз	Виды источников угроз
1.	Человек	- непреднамеренные действия (ошибки); - преднамеренные действия (злодеяния).	- пользователь; - злодей.
2.	Техника	- сопутствующие явления (выбросы ОВ, ЭМ излучения, пром. шумы, …); - аварии (несчастные случаи).	- опасные производства; - «слабое звено» (уязвимость).
3.	Природа	- стихийные бедствия; - климатические аномалии; - эрозия, коррозия, загрязнения, … - воздействия микроорганизмов и живых существ.	- пожары, наводнения, … - температура, влажность, … - агрессивные среды,  ядовитые газы, пыль, … - грибки, плесень, вирусы, насекомые, животные, …

Табл. 1. Пример классификации источников угроз.

Источники угроз можно классифицировать и иначе. Например, их можно поделить по признаку принадлежности структуре на два класса – внутренние и внешние. Объекты (субъекты), с которыми взаимодействует объект защиты, проявляются в качестве внешних источников угроз, а элементы, из которых он сам состоит, в качестве внутренних источников угроз. Вариант такой классификации для объекта защиты – предприятия представлен в табл. 2.

№ пп	Источники угроз
	внутренние	внешние
1.	владельцы	законодательные органы власти
2.	топ-менеджеры	исполнительные органы власти
3.	инсайдеры	конкуренты и криминал
4.	персонал	пользователи (потребители)
5.	ТСОХПИ	контрагенты (провайдеры услуг)
6.	инженерные коммуникации	2-я природа (рукотворная: предприятия с повышенным уровнем ЭМИ, магнитных полей, выбросов ОВ, …)
7.	здания и сооружения	1-я природа (естественная: стихийные бедствия, животные, насекомые, пыль, …)

Табл. 2. Источники угроз информационной безопасности СЭД.

Главное, нет и не может быть «угроз вообще», т.е. никому и ничем. Кто-то или что-то должно иметь желание и/или возможности причинить вред кому-то или чему-то. А вред, как известно, может быть выражен либо в виде:

- деструкции (т.е. повреждении объекта);

- дисфункции (т.е. нарушении его функциональности);

- ухудшении условий существования (для субъекта) или функционирования (для объекта).

При таком подходе сразу становится очевидной абсурдность, например, такой угрозы, как «угроза несанкционированного доступа». От кого исходит угроза? Неизвестно. Можно, конечно, додумать или придумать (чем, собственно, и занимаются наши т.н. регуляторы), но результат тогда будет совершенно умозрительным, т.е. спекулятивным. А чем здесь угрожают? Несанкционированным доступом?! Но доступ, даже несанкционированный, не есть вред! Это всего лишь событие – факт контакта некоторого субъекта с некоторым объектом. Контакта, осуществлённого без санкции, т.е. без легитимно оформленного разрешения. И как я уже неоднократно писал, НСД может служить всего лишь этапом на пути реализации одной из угроз информационным ресурсам (объектам, продуктам), такой как некорректное уничтожение, искажение, некорректное изменение статуса (сюда входит и несанкционированное ознакомление, и кража, и некорректная рассылка и пр.) Кроме того, не каждое событие, именуемое НСД, заканчивается причинением вреда кому-то или чему-то. Чаще НСД обходится без последствий, но иногда, действительно, тот, кто осуществил несанкционированный доступ, причиняет вред тому, к чему «доступил», и при максимально широкой трактовке понятия «источник угроз» может быть отнесён к категории «источник угроз».

В любом случае источником угроз может быть только объект или субъект! Источник угроз – это предмет, контакт с которым может привести к деструктивным последствиям для объекта. В пределе, источники угроз – это не только весь реально существующий объективированный  мир, но и мир виртуальный (4)  и, даже, мир трансцендентный (5).

Когда ряд стран принимает законы об ограничении или полном запрещении исследований в области клонирования людей, это есть не что иное, как защита социума от информации, которая может быть в потенции использована во вред человеку и человечеству. Информации еще нет, но есть многовековой опыт развития цивилизации, который говорит о том, что любое научное открытие сначала применяется в военных целях и значительно позже – в мирных. Последствия же от его применения становятся все менее предсказуемы, а масштабы возможных последствий и, следовательно, цена риска – все больше. 

На рис. 3 в качестве примера приведён пример классификации источников угроз информационной инфраструктуре такого объекта безопасности, как «государство».

В заключение ещё раз хочу подчеркнуть, что для таких объектов безопасности, как «индивид» и «организация» «источники угроз» будут отличаться от представленных на рис. 2. Более того,  они будут отличаться и от индивида к индивиду, и от организации к организации. Выявление источников угроз и источников опасностей, как и любая другая деятельность по обеспечению любого вида безопасности любого объекта или субъекта, есть дело творческое, и потому требующее от лиц, участвующих в этом процессе, много знаний, умений, опыта и, что не маловажно, совести.

 Рис.3. Источники угроз информационным ресурсам государства

---

(1) Абсурдность этого определения состоит не только в том, что явление (а угроза есть явление) перепутано с причиной его возникновения, но и в «угрозах безопасности». Угрожают объекту (субъекту), но не его  безопасности. Об этом подробнее можно прочитать в Инсайд. Защита информации, 2012, № 5.
(2) Вред может быть причинён только объекту, но никак не интересам. Нанести вред интересам невозможно! «Вред интересам» - это сленг, идиоматический оборот, «идол рынка» по Ф.Бэкону, а проще говоря, - обыкновенная глупость.
(3) См., например: http://ru.wikipedia.org/wiki/%D4%FE%F1%E8%F1 (25.02.2014).
(4) О влиянии виртуального мира на психику человека
(5) Т.е. лежащий за пределами опыта, недоступный опытному познанию.

---

Литература:
1. ГОСТ Р 50922-2006. Защита информации. Основные термины и определения. – Режим доступа: http://www.rskb48.ru/info/50922-06.pdf (21.02.2010).
2. Федеральный закон Российской Федерации от 28 декабря 2010 г. N 390-ФЗ. Режим доступа: http://www.rg.ru/2010/12/29/bezopasnost-dok.html (23.02.2014).
3. Основы государственной политики РФ в области международной информационной безопасности на период до 2020 года [Электронный ресурс] // Сайт Совета Безопасности Российской Федерации. – Режим доступа: http://www.scrf.gov.ru/documents/6/114.html (23.02.2014).
4. Викисловарь [Электронный ресурс]. – Режим доступа:  http://ru.wiktionary.org (27.01.2014).
5. Советский энциклопедический словарь. С. 1368.
6. Атаманов Г.А. Азбука безопасности. Исходные понятия теории безопасности и их определения // Защита информации. Инсайд. 2012, № 4, с 16-21.
7. Атаманов Г.А. Методология безопасности [Электронный ресурс] / Фонд содействия научным исследованиям проблем безопасности «Наука-XXI». – 2011. – Режим доступа: http//naukaxxi.ru/materials/302/, свободный (21.12.2013).
8. Атаманов Г.А. Азбука безопасности. Определения понятий «опасность» и «безопасность» // Защита информации. Инсайд. 2012, № 5, с. 8-13.
9. Вихорев С., Кобцев Р. Как определить источники угроз [Электронный ресурс]. – Режим доступа: http://www.bre.ru/security/19608.html, свободный (16.03.2010).