Vaqif qasimov informasiya təhlükəsizliyinin əsasları Dərslik Azərbaycan Respublikası Milli Təhlükə­sizlik Nazirliyinin Heydər Əliyev adma Akademiyasının Elmi Şurasının 29 aprel 2009-cu IL tarixli iclasının qərarı ilə

İnformasiya təhlükəsizliyinin təmin edilməsinə
kompleks yanaşma

İnformasiya təhlükəsizliyi konsepsiyası

İnformasiya təhlükəsizliyi strategiyası

İnformasiya təhlükəsizliyi siyasəti

Məhdudlaşdırma siyasəti (DP)

Çoxsəviyyəli siyasət (MLS)

Tamlığın qorunması üçün Biba təhlükəsizlik
siyasəti

1. 
   İnformasiya təhlükəsizliyinin təmin edilməsinə kompleks yanaşma
   

Məlum olduğu kimi, informasiya təhlükəsizliyinin tə­min edilməsi üçün həyata keçirilən tədbirlər informasiya texnologiyalarıma, o cümlədən avtomatlaşdırılmış infor­masiya sistemlərinin inkişaf səviyyəsindən daim geri qalır.

Adətən, informasiyanın qorunması vasitələrini istehsal edən şəxslər və ya təşkilatlar tərəfindən işlənib hazıranmış hər bir üsul və vasitə informasiya təhlükəsizliyinin ayrı- ayn konkret məsələlərinin həlli üçün nəzərdə tutulur. Hazırda informasiya təhlükəsizliyi üzrə bütün məsələlərin həllini təmin edən vahid təhlükəsiz (qorunan) sistemlər nəzəriyyəsi mövcud deyil.

Müasir dövrdə kompyuter sistemlərinin və şəbəkələri­nin reallaşdırıldığı təşkilatlarda informasiya təhlükəsizliyi probleminə müxtəlif baxışlar mövcuddur. Bu baxışlardan irəli gələrək informasiya təhlükəsizliyi probleminin həll edilməsi səviyyəsinə görə təşkilatları dörd kateqoriyaya ayırmaq olar.

Birinci kateqoriyaya (səviyyə 0) aid edilən təşkilatlarda informasiya təhlükəsizliyi məsələsinə xüsusi diqqət veril­mir və heç kəs bu məsələ ilə ciddi məşğul olmur. Belə təşkilatlarda informasiya təhlükəsizliyi yalnız əməliyyat sistemlərinin, verilənlər bazalarının idarə olunması sistem­lərinin və əlavə proqramların daxili imkanları hesabma həyata keçirilir.

İkinci kateqoriya (səviyyə 1) təşkilatlarda informasiya təhlükəsizliyinə texniki problem kimi baxılır və informasi­ya təhlükəsizliyinin təmin edilməsi sisteminin yaradılması üçün vahid proqram, eləcə də konsepsiya, strateg’ya və ya siyasət mövcud olmur. Bu halda əvvəlki səviyyədə baxıan vasitələrdən əlavə ehtiyat surətin saxlanması vasitələri, antivirus proqramları, şəbəkələrarası ekran, qorunan vir­tual xüsusi şəbəkələrin (VPN) təşkili mexanizmləri real­laşdırılır.

Üçüncü kateqoriyaya (səviyyə 2) daxil olan təşkilatlar­da informasiya təhlükəsizliyi məsələsinə təşkilati və tex­niki tədbirlər kompleksi kimi baxılır, problemin vacibliyi başa düşülür və informasiya təhlükəsizliyinin təmin edil­məsi sisteminin inkişafı üzrə proqram mövcud olur.

Burada birinci səviyyədəki vasitələrlə yanaşı güclü autenti- fikasiya, poçt məlumatlarının və Web kontentin təhlili, təh­lükəsizliyin pozulmasının aşkar edilməsi, qorunma səviy­yəsinin və vasitələrinin təhlili mexanizmləri, açıq açar infrastrukturu, təşkilati tədbirlər (giriş-çıxışa nəzarət, risk­lərin təhlili, informasiya təhlükəsizliyi siyasəti, əsasnamə­lər, proseduralar, reqlamentlər və s.) sistemi reallaşdırılmış olur.

Üçüncü kateqoriyadan fərqli olaraq, dördüncü kateqoi- ya (səviyyə 3) təşkilatlarda korporativ informasiya təhlü­kəsizliyi mədəniyyəti formalaşır, informasiya təhlükəsiz­liyinin idarə edilməsi sistemi reallaşdırılır, təhlükəsizlik məsələləri üzrə xüsusi struktur bölməsi və təhlükəsizliyin pozulması hallarına reaksiya qrupu fəaliyyət göstərir.

Göründüyü kimi, ilk iki kateqoriyaya aid olan təşkilat­larda (0 və 1 səviyyəli) informasiya təhlükəsizliyi məsələ­ləri ilə fraqmentar şəkildə (qismən) məşğul olurlar.

Fraqmentar yanaşma müəyyən edilmiş şəraitlərdə konkret təhlükələrin (məsələn, girişin idarə olunması və ya informasiyanın şifrlənməsi üçün ayrı-ayn vəsaitlər, antivirus proqramları və s.) qarşısını almaq üçün konkret vasitələrin reallaşdınlmasmı nəzərdə tutur.

İnformasiya təhlükəsizliyi məsələsinə ciddi yanaşma isə yalnız üçüncü və dördüncü kateqoriya (səviyyə 2 və 3) təşkilatlarda həyata keçirilir. Belə yanaşma kompleks yanaşma adlanır. Korporativ şəbəkələrdə təhlükəsiz (qoru­nan mühitdə) informasiya emalım məhz kompleks yanaş­manın köməyi ilə təmin etmək mümkündür.

Bu yanaşma informasiya təhlükəsizliyi məsələlərinin vahid proqram çərçivəsində həllini, şəbəkədə meydana çıxa biləcək təhlükələrin qarşısının alınması üçün nəzərdə tutulmuş müxtəlif üsul və vasitələrin kompleks tətbiqini özündə ehtiva edir. Bu kompleksə informasiya təhlükə­sizliyinin təmin edilməsi üçün hüquqi, mənəvi-etik və təşkilati-inzibati tədbirlər, proqram və texniki vasitələr daxil olur.

Qeyd olunanları nəzərə alaraq, informasiya resursları­nın, kompyuter sistemlərinin və şəbəkələrinin təhlükəsizli­yinin zəmanətli təmin edilməsi, o cümlədən kompyuter cinayətkarlığı və kiberterrorçuluq hadisələrinin vaxtında aşkar edilməsi, qabaqlanması, qarşısının alınması və zərərsizləşdirilməsi məqsədilə hər hansı təhlükəsizlik üsul, vasitə və sistemləri reallaşdınlmazdan əvvəl dövlətlər və təşkilatlar, habelə ayrı-ayn şəxslər səviyyəsində böyük tədbirlər kompleksinin işlənib hazırlanması və həyata keçirilməsi tələb olunur.

Bu tədbirlər kompleksi üç tərkib hissədən ibarətdir:

• 
  informasiya təhlükəsizliyi konsepsiyası;
  
• 
  informasiya təhlükəsizliyi strategiyası;
  
• 
  informasiya təhlükəsizliyi siyasəti.
  

2. 
   İnformasiya təhlükəsizliyi konsepsiyası