Основы информационной безопасности

ОСНОВЫ 

ИНФОРМАЦИОННОЙ 

БЕЗОПАСНОСТИ

Москва 
РИОР 

ИНФРА-М

Е.К. БАРАНОВА 
А.В. БАБАШ

УЧЕБНИК

СРЕДНЕЕ
ПРОФЕССИОНАЛЬНОЕ
ОБРАЗОВАНИЕ 

Баранова Е.К., Бабаш А.В. 

Основы информационной безопасности : учебник / Е.К. Баранова, 

А.В. Бабаш. — Москва : РИОР : ИНФРА-М, 2022. — 202 с. — (Среднее 
профессиональное образование). — DOI: https://doi.org/10.29039/01806-4

ISBN 978-5-369-01806-4 (РИОР)
ISBN 978-5-16-015039-0 (ИНФРА-М, print)
ISBN 978-5-16-107531-9 (ИНФРА-М, online)
В учебнике представлены основные сведения о сущности информаци
онной безопасности, дана характеристика информационных систем как 
наиболее распространенных и достаточно уязвимых объектов информационной безопасности. Авторы приводят методики анализа и оценки потенциальных угроз и рисков, дают обзор подходов к формированию эффективной системы защиты информации и основных стандартов в этой области. 
Отдельно рассматриваются вопросы управления событиями и инцидентами информационной безопасности. Кроме того, в учебнике дан краткий 
обзор криптографических методов защиты информации, а также методов 
и средств, используемых для противодействия угрозам информационной 
безопасности. 

Предназначен для студентов учебных заведений среднего профессио
нального образования, может быть полезен студентам высших учебных заведений, изучающим курс «Основы информационной безопасности».

УДК 621.391(075.8) 
ББК 65.290-93я73

Б24

УДК 621.391(075.8) 
ББК 32.81я73
 
Б24

ISBN 978-5-369-01806-4 (РИОР)
ISBN 978-5-16-015039-0 (ИНФРА-М, print)
ISBN 978-5-16-107531-9 (ИНФРА-М, online)

©  Баранова Е.К.,  

Бабаш А.В.

Авторы:
Баранова Елена Константиновна — доцент, Национальный иссле до ва тельский университет «Высшая школа экономики» (Москва); доцент, Финансовый университет при Правительстве РФ (Москва);
Бабаш Александр Владимирович — профессор, Национальный исследовательский университет «Высшая школа экономики» (Москва); профессор, 
Российский экономический университет имени Г.В. Плеханова (Москва).

Рецензенты:
Алиев Ф.К. — д-р физ.-мат. наук, ведущий советник Главного управления 
развития информационных и телекоммуникационных технологий Министерства обороны Российской Федерации;
Хорев П.Б. — канд. техн. наук, профессор кафедры прикладной и бизнес-информатики ИМЭЭП НИУ МЭИ

ФЗ 
№ 436-ФЗ
Издание не подлежит маркировке 
в соответствии с п. 1 ч. 4 ст. 11

СОДЕРЖАНИЕ

ПРЕДИСЛОВИЕ  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 5

Глава 1 . 
ИНФОРМАЦИЯ, ЕЕ ВИДЫ  
И ФОРМЫ ПРЕДСТАВЛЕНИЯ  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 9

1.1. Виды информации и формы представления информации  

в информационных системах . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

1.2. Фазы обращения информации. Меры информации . . . . . . . . . . . . . 14
Контрольные задания к главе 1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18

Глава 2 . 
ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ  
И ЗАЩИТА ИНФОРМАЦИИ  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .23

2.1. Понятия «информационная безопасность»  

и «защита информации». . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23

2.2.  Составляющие информационной безопасности . . . . . . . . . . . . . . . . 25
2.3. Уровни формирования режима информационной  
безопасности . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27

2.4. Нормативно-правовые основы информационной  

безопасности в Российской Федерации . . . . . . . . . . . . . . . . . . . . . . . . 30

2.5. Стандарты информационной безопасности . . . . . . . . . . . . . . . . . . . . 34
2.6. Административный уровень обеспечения информационной  
безопасности . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
2.7. Анализ и оценка рисков информационной безопасности . . . . . . . . 53
2.8. Управление инцидентами информационной безопасности  . . . . . . 56
Контрольные задания к главе 2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62

Глава 3 . 
ВРЕДОНОСНЫЕ ПРОГРАММЫ И ЗАЩИТА ОТ НИХ  .  .  .  .  .67

3.1. Классификация вредоносного программного обеспечения  . . . . . . 67
3.2. Антивирусные программы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71
Контрольные задания к главе 3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74

Глава 4 . 
ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ  
КОМПЬЮТЕРНЫХ СЕТЕЙ И ОБЛАЧНЫХ СЕРВИСОВ .  .  .79

4.1. Особенности обеспечения информационной безопасности  

в компьютерных сетях . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79

4.2.  Сетевые модели передачи данных  . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
4.3. Классификация удаленных угроз в вычислительных сетях . . . . . . 86
4.4. Угрозы информационной безопасности  

в облачных сервисах  . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90

Контрольные задания к главе 4 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94

Глава 5 . 
МЕХАНИЗМЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ 
БЕЗОПАСНОСТИ .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .98

5.1. Идентификация и аутентификация . . . . . . . . . . . . . . . . . . . . . . . . . . . . 98
5.2. Разграничение доступа. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
5.3. Регистрация и аудит . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100
5.4. Межсетевое экранирование. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101

5.5. Технология виртуальных частных сетей (VPN) . . . . . . . . . . . . . . . . . . 104
Контрольные задания к главе 5 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106

Глава 6 . 
КРИПТОГРАФИЧЕСКИЕ МЕТОДЫ ЗАЩИТЫ  
ИНФОРМАЦИИ  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 111

6.1. Классические шифры . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111

6.2. Особенности построения блочных шифров . . . . . . . . . . . . . . . . . . . . . 121
6.3. Симметричные криптосистемы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124
6.4. Асимметричные криптосистемы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141
6.5. Электронная подпись . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152
6.6. Управление криптографическими ключами . . . . . . . . . . . . . . . . . . . . 157
6.7. Современные приложения криптографии . . . . . . . . . . . . . . . . . . . . . . 164
Контрольные задания к главе 6 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167
Задачи к главе 6. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173

Глава 7 . 
ЭКОНОМИЧЕСКИЕ АСПЕКТЫ ЭФФЕКТИВНОСТИ  
СИСТЕМ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ  
БЕЗОПАСНОСТИ .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 175

ВАРИАНТЫ ИТОГОВЫХ ТЕСТОВЫХ ЗАДАНИЙ  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 183

СЛОВАРЬ ТЕРМИНОВ .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 198

СПИСОК ЛИТЕРАТУРЫ  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 200

ПРЕДИСЛОВИЕ

Обеспечение информационной безопасности является одной из ос
новных проблем, с которой сталкивается современное общество. 
Причиной ее обострения в наши дни стало широкомасштабное использование автоматизированных средств накопления, хранения, обработки и передачи информации.

Проблема обеспечения информационной безопасности широка 

и многогранна. За внешней тривиальностью, заключающейся в обеспечении трех составляющих информационной безопасности — доступности, целостности и конфиденциальности информации, — скрывается значительный перечень мероприятий: от общих решений, принимаемых в интересах всего общества и государства, до частных решений 
в рамках отдельно взятых компаний. Развитие современного общества 
напрямую связано с ростом производства, потребления и накопления 
информации во всех отраслях человеческой деятельности. 
Информационные потоки в обществе увеличиваются с каждым днем, 
и этот процесс носит лавинообразный характер.

По своему значению для развития общества информация прирав
нивается к важнейшим ресурсам наряду с сырьем и энергией. В развитых странах большинство работающих заняты не в сфере производства, а в той или иной степени занимаются обработкой информации. 

Следует отметить и новую тенденцию, заключающуюся во все боль
шей информационной зависимости общества в целом и отдельного 
человека в частности. Именно поэтому в последнее время появились 
такие категории, как «информационная политика», «информационная 
безопасность», «информационная война», и целый ряд других новых 
понятий, в той или иной мере связанных с информацией.

Сегодня в нашей стране в целом сформирована единая политика 

в сфере обеспечения информационной безопасности. Для этого принят 
ряд основополагающих законов и разработаны ключевые оценочные 
стандарты средств автоматизированной обработки, хранения, отображения и обмена информацией. Об особом внимании государства к вопросам информационной безопасности говорит недавнее принятие новой Доктрины информационной безопасности Российской Федерации, 
утвержденной Указом Президента РФ от 5 декабря 2016 г. № 646. 

Опыт ведущих развитых стран показывает, что по мере все большей 

автоматизации и информатизации общественной жизни проблема информационной безопасности будет все больше обостряться. Наличие 
проблем с обеспечением защищенности информации и поддерживающей 
ее инфраструктуры на сегодняшний день сдерживает развитие таких перспективных экономических направлений, как электронная коммерция, 

электронный бизнес, безбумажный документооборот и другие, которые 
могут реально повысить эффективность функционирования целых отраслей производства и сферы сервисных услуг.

В нашей стране все более востребованными становятся услуги специалистов, занимающихся вопросами защиты информации. На этом 
фоне появляются крупные компании, оказывающие подобные услуги, 
разрабатывающие специализированные аппаратно-программные комплексы защиты информации, что дополнительно подтверждает актуальность проблемы обеспечения информационной безопасности.

В связи с этим можно отметить, что современный человек, хоть 

как-то связанный с информационными технологиями и средствами 
автоматизации обработки информации, должен иметь представление 
об основных источниках и угрозах информационной безопасности и, 
самое главное, должен знать основные приемы безопасной работы. 
Именно с этой точки зрения излагается материал данной книги. 

Если изучение представленных материалов сформирует у читателей 

устойчивое представление о проблеме обеспечения информационной 
безопасности, источниках и причинах инцидентов, а также способах 
защиты, то авторы будут считать свою цель в значительной степени 
достигнутой.
В первой главе книги даются базовые понятия, связанные с опреде
лением информации, ее мерами и фазами обращения в информационной системе, поскольку прежде, чем говорить о методах защиты информации и информационной безопасности, необходимо определить: «что 
есть информация?». Таким образом, первая глава — это фактически 
повторение тех вопросов, с которыми учащиеся уже должны быть знакомы из курса «Информатика».
Во второй главе книги рассмотрены нормативно-правовые основы 
обеспечения информационной безопасности. Существенное внимание 
уделено основополагающим нормативным документам, определяющим 
порядок использования различных категорий информации, а также 
ответственность за соответствующие нарушения в информационной 
сфере. Кроме этого, в этой же главе изложены общие подходы к обеспечению информационной безопасности на административном уровне, дано понятие политики безопасности и ее содержание, проанализированы основные угрозы информационной безопасности в контексте 
ее составляющих. 

Отдельно во второй главе рассматриваются вопросы анализа и оцен
ки рисков, а также управления событиями и инцидентами информационной безопасности. Именно процессы управления инцидентами 
позволяют определить конкретные уязвимости системы защиты информации, обнаружить следы атак и вторжений в информационную 
среду компании, что в свою очередь дает сведения о слабостях в существующей системе защиты. 

Одним из механизмов обеспечения информационной безопасности 
является создание центров обеспечения информационной безопасности 
(SOC). Одно из определений SOC гласит, что SOC — это команда, состоящая, в основном, из аналитиков в сфере информационной безопасности, задачами которой является обнаружение, анализ, реагирование, 
предоставление отчетов и предотвращение инцидентов информационной безопасности. 
Однако SOC это не только люди. Это взаимосвязь процессов, тех
нологий и людей, выполняющих определенные функции. Этим вопросам также уделено внимание во второй главе книги. 
Третья глава посвящена проблемам защиты информационных систем 

от вредоносных программ. В соответствии с современной классификацией вредоносных программ в разделе изложены основные способы 
противодействия проникновению вредоносных программ в компьютеры пользователей. Наиболее надежную защиту от вредоносных программ 
может обеспечить только комплекс разнообразных мер защиты, включающий организационные мероприятия, регламентирующие использование компьютера, безопасное администрирование компьютерной системы, применение программных средств защиты, соблюдение правил 
«техники безопасности» при работе в интернете, в том числе при использовании электронной почты, а также при копировании данных 
и инсталляции программ. Цель данной главы — сформировать представление о том, что, помимо установки на компьютере хорошей антивирусной программы, крайне желательно предпринимать дополнительные меры по выявлению и нейтрализации вредоносных программ. 

Особенности обеспечения информационной безопасности в ком
пьютерных сетях и облачных сервисах рассматриваются в четвертой 
главе. С появлением сетевых информационных систем проблема обеспечения информационной безопасности стала приобретать новые 
черты, поскольку наряду с локальными угрозами, осуществляемыми 
в пределах одного узла, к сетевым информационным системам применим специфический вид угроз, обусловленный распределенностью 
сетевых и информационных ресурсов в пространстве. Это так называемые сетевые или удаленные угрозы. Они отличаются, во-первых, тем, 
что злоумышленник может находиться за тысячи километров от атакуемого узла, и, во-вторых, тем, что атаке может подвергаться не конкретный узел, а информация, передаваемая по сетевым каналам. С развитием локальных и глобальных сетей именно удаленные атаки становятся лидирующими как по количеству попыток, так и по успешности 
их применения, и, соответственно, обеспечение безопасности вычислительных сетей с точки зрения противостояния удаленным атакам 
приобретает первостепенное значение. Специфика распределенных 
вычислительных систем состоит в том, что если в локальных вычисли

тельных сетях наиболее частыми являются угрозы конфиденциальности 
и целостности информации, то в территориально распределенных сетях 
на первое место выходит угроза нарушения доступности информации. 
Отдельно в данной главе уделяется внимание вопросам обеспечения 
безопасности облачных сервисов, поскольку на сегодняшний день это 
одна из наиболее стремительно развивающихся технологий, предполагающая передачу части объектов информационной инфраструктуры 
на обслуживание сторонней организации, что несет дополнительные 
риски информационной безопасности. 
В пятой главе описаны наиболее значимые механизмы защиты вычислительных систем от несанкционированных действий как преднамеренного, так и непреднамеренного характера, такие как аутентификация, аудит, шифрование, межсетевое экранирование, VPN и др. 

Шестая глава посвящена вопросам криптографической защиты ин
формации. В настоящее время исключительное значение в разных областях приобрели вопросы, связанные с сохранением и передачей конфиденциальной информации. Возникающие при этом задачи решает 
криптография — наука о методах преобразования информации в целях 
ее защиты от незаконных пользователей. 
Значение криптографии выходит далеко за рамки обеспечения се
кретности данных. По мере все большей автоматизации передачи и обработки информации и интенсификации информационных потоков ее 
методы приобретают уникальное значение. Заметим, что в главе, посвященной вопросам криптографической защиты информации, авторы 
попытались донести до читателей суть основополагающих разделов 
криптографии от классических шифров до современных симметричных 
и асимметричных систем шифрования, а также методов управления 
криптографическими ключами. Кроме того, здесь же рассматриваются 
вопросы, связанные с процессами постановки и проверки электронной 
подписи.
Последняя глава книги затрагивает вопросы связанные с экономической эффективностью систем информационной безопасности, поскольку одна из основных задач специалиста в области защиты информации — 
доказать эффективность такой системы и показать руководству компании целесообразность инвестиций в информационную безопасность. 

Для повышения качества проверки знаний в книге предусмотрены 

две формы контроля. Во-первых, в конце каждой главы приводятся 
контрольные тестовые задания, охватывающие основные вопросы раздела. Во-вторых, приведены три варианта тестовых контрольных заданий, охватывающих весь курс. 

Глава 1 . 
ИНФОРМАЦИЯ, ЕЕ ВИДЫ  
И ФОРМЫ ПРЕДСТАВЛЕНИЯ

1 .1 . Виды информации и формы  

представления информации  
в информационных системах

Прежде чем мы будем говорить о методах защиты информации и информационной безопасности, необходимо определить «что есть информация?». Сразу заметим, что здесь не существует всеобъемлющего определения. 
Термин информация происходит от латинского слова informatio — 
разъяснение, изложение, осведомленность. Энциклопедический словарь (М.: Сов. энциклопедия, 1990) определяет информацию в исторической эволюции: первоначально это сведения, передаваемые людьми 
устным, письменным или другим способом (с помощью условных сигналов, технических средств и прочее); с середины XX в. — общенаучное 
понятие, включающее обмен сведениями между людьми, человеком 
и автоматом, обмен сигналами в животном и растительном мире (передача признаков от клетки к клетке, от организма к организму).

Философский подход использует свое понятие: информация — это 

взаимодействие, отражение, познание.

Толковый словарь русского языка Ожегова приводит два определения: 
1. Информация — сведения об окружающем мире и протекающих 

в нем процессах, воспринимаемые человеком или специальным 
устройством.

2. Информация — сообщения, осведомляющие о положении дел, 

о состоянии чего-нибудь. 

Согласно экономическому словарю информация (лат. informatio — 

осведомлять) — 1) любое сообщение о чем-либо; 2) сведения, данные, 
значения экономических показателей, являющиеся объектами хранения, 
обработки и передачи и используемые в процессе анализа и выработки 
экономических решений в управлении; 3) один из видов ресурсов, используемых в экономических процессах, получение которого требует 
затрат времени и других видов ресурсов, в связи с чем эти затраты следует включать в издержки производства и обращения; 4) одна из трех 
фундаментальных субстанций (вещество, энергия, информация), составляющих сущность мироздания и охватывающих любой продукт 
мыслительной деятельности, прежде всего — знания, образы.

По К.Э. Шеннону1 информация — уменьшение 
неопределенности наших знаний. 
В Российском законодательстве2 вводится свое 
определение информации: информация — сведения (сообщения, данные) независимо от формы 
их представления.
Этот список определений далеко не полный, 
и подводя итог относительно понятия «информация», можно сказать, что информацию нельзя 
считать лишь техническим термином, это фундаментальная философская категория, которой присущи такие свойства, как запоминаемость, передаваемость, преобразуемость, воспроизводимость, стираемость. 
В рамках научных представлений информация является первичным 

и неопределяемым понятием и предполагает наличие материального 
носителя информации, источника информации, передатчика информации, приемника и канала связи между источником и приемником. 
Понятие информации используется во всех сферах: науке, технике, 
культуре, социологии и повседневной жизни.

Каким же определением воспользоваться нам, рассматривая вопро
сы обеспечения информационной безопасности и защиты информации? Остановимся на том, что предлагает нам законодательство:

Информация — сведения (сообщения, данные)  

независимо от формы их представления. 

Информация — специфический атрибут реального мира, представ
ляющий собой его объективное отражение в виде совокупности сигналов и проявляющийся при взаимодействии с приемником информации, 
позволяющим выделять, регистрировать эти сигналы из окружающего 
мира и по тому или иному критерию их идентифицировать. Причем 
сведения могут быть представлены в самом разнообразном виде. 
Информацию классифицируют по способу восприятия, по форме представления и по общественному значению. 

1  Клод Элвуд Шеннон является основателем теории информации, нашедшей 

применение в современных высокотехнологических системах связи. Статьи 
Шеннона «Математическая теория связи» и «Теория связи в секретных системах» считаются основополагающими для теории информации и криптографии.

2  Федеральный закон от 27.07.2006 № 149-ФЗ (ред. от 25.11.2017) «Об информа
ции, информационых технологиях и о защите информации». Ст. 2.

Клод Элвуд Шеннон