Для аналізу потенційних загроз безпеці інформації (БІ) в автоматизованих системах (АС) у одній із наукових статей трьох співавторів у 2010 році приведені визначення властивостей інформації та АС, проте не дано визначення дефініції "автоматизована система", ін. При цьому, розглянуті лише російськомовні і україномовні публікації, із 11 цитованих публікацій (вказано у джерелах 10) не розглянуте жодне англомовне джерело щодо цих по суті англомовних у сучасному розумінні термінів; неправомірно обмежені властивості інформації; ін.
Тому не зрозуміло, чи внесені до результатів визначення загроз для БІ і АС такі елементи як:
- інформаційні пошукові системи у веб просторі, у Social Media, інформаційно-аналітичні системи, системи підтримки прийняття рішень (DSS - Decision Support System), DSS останніх поколінь (з 1995 року) на основі Business Intelligence, реалізовані у Cloud Computing, реалізовані для добування даних з Big Data з 2009 року (DSS BI, Cloud Computing DSS BI, DSS BI Big Data), системи SCADA (Supervisory Control And Data Acquisition), IoT (Internet of Things), NCW (Network-centric Warfare, also called Network-centric Operations), ін.;
- властивості інформації, які найбільш важливі для її споживачів і вказані у документах щодо організації Інформаційно-аналітичної діяльності (ІАД): адекватність, достовірність, повнота, актуальність, доступність, об'єктивність; більш широко властивості інформації у ІАД див. у кінці публікації.
Неправомірне або нечітке узагальнення визначення потенційних загроз безпеці інформації в автоматизованих системах може привести до катастрофічних наслідків на локальному, загальнодержавному і міждержавному рівнях. Важливість визначення загроз безпеці інформації у сучасних автоматизованих системах можна зрозуміти на прикладі АСУ ТП SCADA. Для прикладу, у червні 2010 року антивірусна компанія VirusBlokAda повідомила про перше виявлення зловмисного програмного забезпечення, яке атакує системи SCADA. Див також англомовну Wiki сторінку SCADA. У жовтні 2013 року National Geographic випустила документальну драму під назвою American Blackout, яка розповідала про уявну масштабну кібератаку на SCADA та на електричну мережу Сполучених Штатів.
Щодо дефініції "автоматизована система, то варто відзначити визначення на українській Вікі-сторінці (аналогічне на російській вікі-сторінці) терміну англомовного походження:
"Автоматизо́вана систе́ма (АС) (англ. automated system) — сукупність керованого об'єкта й автоматичних керуючих пристроїв, у якій частину функцій керування виконує людина[1]. АС являє собою організаційно-технічну систему, що забезпечує вироблення рішень на основі автоматизації інформаційних процесів у різних сферах діяльності (управління, проектування, виробництво тощо) або їх поєднаннях[2]. ...Це загальне визначення. У залежності від галузі застосування даються уточнені формулювання поняття «автоматизована система»...".
У зв'язку із вказаним визначенням терміну "автоматизована система" (рос. "автоматизированная система") необхідно знати, що станом навіть на 19.05.23 року, у Wikipedia відсутня англомовна вікі-сторінка з дослівним перекладом "automated system". Пошуковий запит у Google дає такий перший результат (сайт iqsdirectory.com): "An automation system is an integration of sensors, controls, and actuators designed to perform a function with minimal or no human intervention. The field concerned in this subject is called Mechatronics which is an interdisciplinary branch of engineering that combines mechanical, electrical, and electronic systems." (Переклад: "Система автоматизації – це об’єднання датчиків, елементів керування та виконавчих механізмів, призначених для виконання функції з мінімальним втручанням людини або без нього. Галузь, яку розглядає цей предмет, називається Мехатроніка (Mechatronics), яка є міждисциплінарною галуззю інженерії, яка поєднує механічні, електричні та електронні системи").
У зв'язку із вказаним виникають питання: Чи діють стосовно АС у вказаній статті визначення застарілого ДСТУ 2226-93 "Автоматизовані системи. Терміни і визначення"?. На цей ДСТУ є посилання у різних публікаціях, проте сам текст ДСТУ 2226-93 не видається у пошуковій видачі по домену *.gov чи подібним.
Чи відносили автори до "автоматизованих систем" (АС): Social Media, DSS (Decision Support System); DSS останніх поколінь (з 1995 року) на основі Business Intelligence (DSS BI, DSS BI на основі Cloud Computing, DSS BI для обробки Big Data (з 2009 року), системи SCADA, IoT, NCW, ін.
У 2010 році також у PCAST (President's Council of Advisors on Science and Technology) офіційно визначені дефініції Big Data та визначена необхідність Big Data Strategy для кожного федерального агенства США (у ЖВІ нами була пропонована розробка і здача замовнику концепції дослідного використання Big Data Strategy (Business Intelligence+KMS) до кінця 2010 року); з 1995р. визначений термін Business Intelligence, раніше Knowledge Management System (не пізніше 2004р.), ін.
Якщо ці автоматизовані системи відносяться до вказаної у 2010 році статті 3-х співавторів про безпеку інформації, то визначений там перелік потенційних загроз безпеці інформації повинен був значно уточнений і доповнений.
Одним з найбільш близьких термінів для "АС" доцільно вважати "Автоматизо́вана систе́ма керува́ння" (АСК), "Автоматизована система управління" (АСУ), "Комп'ютерна система управління" (КСУ) - Industrial control system (ICS), вікі-сторінки на 11 мовах.
Тобто, аналогом назви кафедри АСУ чи АСК може бути англомовна назва Industrial control system (ICS) і т.п. Сюди можна віднести SCADA (Supervisory Control And Data Acquisition), IoT (Internet of Things), NCW (Network-centric warfare, Network-centric operations, Network-centric system).
Найбільш сучасні автоматизовані системи з елементами аналітики інтегровані із засобами hi-tech аналітики - business Intelligence, включаючи data mining (найбільш популярні засоби machine learning, ін.), OLAP, dashboards, scorecard, ін. Додатково див. сторінку Вікіпедії Industrial control system та публікації цього блогу DSS BI. Знак plus у назві блогу DSS BI hitech analytics+ означає насамперед те, що реалізовані на практиці та (або) пропоновані засоби Hi-tech Analytics мають верифіковані науково-практичні удосконалення (результати), у тому числі мають можливості приєднання виконавчих пристроїв (комплексів, систем, людей).
Вказані системи з елементами забезпечення безпеки інформації у межах відведеного навчального часу вивчали студенти ЖВІ на кафедрах АСУ та Комп`ютеризованих систем. Під авторським навчально-науковим керівництвом зроблені публікації на сайті "Система+", у навчальних авторських веб-лабораторіях Sitelabs DSS BI & Sitelabs SLS, у збірниках робіт наукових конференцій ЖВІ, ін. Зроблені також публікації та реалізовані на практиці результати авторських досліджень з провідними керівниками та експертами практиками у сфері розробки і використання автоматизованих систем різного призначення. Насамперед у сфері автоматизованих інформаційно-аналітичних систем з елементами приєднаного до програмних засобів Business Intelligence (hi-tech аналітики) управління віддаленими системами (людьми, комплексами, пристроями) для корпоративного або локального використання. Реалізовані вимоги щодо робастності (стійкості роботи при пошкодженнях корпоративної мережі ICS чи NCW, чи IoT).
Приклади навчально-наукових практичних завдань з відпрацюванням безпеки інформації та ПЕОМ, виконаних студентами під авторським керівництвом без порушення норм законів:
- встановлення та аналіз успішних і неуспішних, навмисних і ненавмисних хакерських атак з нашої навчальної аудиторії у ЖВІ на веб-систему Система+ (Sitelabs DSS BI & Sitelabs SLS), on-line тренінги протидії цим атакам;
- аналіз відвідуваності навчальних сайтів для безпеки інформації і АС (приклад: встановлення студентом для отримання оцінки "добре" під час екзамену - хакера сайту з точністю до міської адреси (місто, вулиця, будинок, квартира);
- встановлення факту посиленого інтересу до навчального веб-сайту з конкретної сторонньої навчальної лабораторії ЖВІ по мережі й аналіз дій цих відвідувачів на сайті (приклад: під час лабораторної роботи студенти виявили і спостерігали за рухом курсора миші на сторінках сайту, ін. - це дозволило виявити ціль відвідування сайт і ким були відвідувачі);
- ведення бази даних хакерів веб-сайтів з їх орієнтовною чи точною геолокацією по країнам і поштовим адресам (залежить від законів держави);
- підвищення безпеки веб-ресурсу за рахунок зміни типового маршруту входу в адмінчастину, за рахунок спеціальних капч, використання телефону, ін.;
- підвищення безпеки веб-ресурсу за рахунок посиленої специфічної ідентифікації користувачів;
- зворотній зв'язок з власниками українських і міжнародних хостингів для припинення хакерської діяльності їх клієнтів-хакерів;
- відновлення пошкоджених умисно і неумисно веб-сайтів;
- приховане реквізування системи із 6-ти сайтів з хостингу зловмисного розробника без його згоди в умовах конфлікту із замовником і перенесення її на новостворений хостинг замовника (користуючись незнанням замовника, зловмисний розробник присвоїв собі права замовника на сайт, розмістив його на своєму акаунті на своєму хостингу і почав використовувати частину проплачених замовником ресурсів для розміщування своїх ресурсів без згоди і знання замовника; при цьому розробка системи із 6-ти сайтів замовника блокувалася розробником під надуманими причинами з метою подальшого видурювання грошей на розробку і використовування інформаційних ресурсів замовника для просування своїх інформаційних ресурсів);
- відслідковування переміщень власників веб-сайту за результатами відвідувань свого сайту під час мандрувань у двох інших країнах - для подання власникам сайту можливостей їх геолокації;
- відслідковування розміщення хакерів за результатами систематичних спроб зламу сайту з іншої країни (для прикладу, Турція);
- отримування автоматичних повідомлень про хакерські атаки до системи навчальних сайтів Система+ (Business Intelligence+KMS), спостереження за їхніми діями, розроблення і реалізація автоматизованої і автоматичної протидії роботам-хакерам, яка непомітна для них;
- централізований збір інформації в одне сховище про хакерські атаки на різні сайти на різних веб-хостингах;
- дослідження і захист від DDos атак;
- протидія організаційному хакерству та хакерським закладкам;
- швидке відновлення сайтів після їх знищення хакерами;
- відновлення контролю над своїми сайтами після їх захоплення хакерами;
- моніторинг і протидія у режимі онлайн негативним коментаторам у Social Media у цілому та щодо заданого об'єкта, виявлення зловмисних атак на репутацію об'єкта, ін.;
- використання засобів Business Intelligence для документування й hi-tech аналізу системи безпеки інформації
- ін.
ДОДАТКОВО. Типові властивості інформації у сфері Інформаційно-Аналітичній Діяльності для підтримки прийняття рішень
- Якісні показники інформації: актуальність;адекватність; цілковита певність (відсутність в інформації прихованих помилок); об’єктивність; однозначність; новизна; корисність (відповідність інформації певній меті); доступність (можливість отримання інформації); своєчасність (отримання інформації у межах того часу, коли вона придатна для прийняття рішення); релевантність (відповідність між змістом інформації і лінгвістичним запитом користувача); точність релевантної чи (або) пертинентної інформації (відношення отриманої інформації до загальної сукупності інформації); пертинентність (відповідність змісту інформації семантичним потребам користувача); ергономічність (зручність форми та обсягу інформації); фасціація (привабливість інформації); живучість (здатність інформації зберігати свої характеристики у часі); захищеність (неможливість несанкціонованого використання (або зміни) інформації); можливість перевірки (досяжність джерела для підтвердження істинності інформації);
- Кількісні показники інформації: повнота; достатність (можливість досягти мети при наявній інформації); обсяг (загальна кількість інформації);
- Ціннісні показники інформації: цінність (значимість, важливість, потрібність інформації для прийняття рішення); вартість.
Коментарі