Информационная безопасность:угрозы,методы защиты информации, стандарты

Содержание

Введение

Сегодня информационные технологии развиваются очень быстро. Почти все сферы жизни — государство, экономика, образование, медицина — связаны с цифровыми данными. Поэтому информационная безопасность стала важной не только для специалистов, но и для всего общества. Каждый год происходит много успешных кибератак. Они приводят к денежным потерям, сбоям в работе важных систем и утечкам личных данных. Из-за этого защита информации — это не только техническая задача, но и стратегическая проблема. Поэтому тема реферата сейчас особенно актуальна.

Цель реферата — рассмотреть информационную безопасность как систему, в которую входят угрозы, методы защиты и нормативное регулирование. Для этого нужно решить несколько задач. Во-первых, изучить и классифицировать основные типы угроз и уязвимостей информационных систем. Во-вторых, разобрать современные методы и средства защиты информации. В-третьих, собрать и систематизировать действующие стандарты и нормативные документы, в том числе ГОСТ и ISO.

Объект исследования — информационная безопасность как область знаний и практической работы. Предмет исследования — отдельные стороны защиты информации: угрозы и уязвимости, методы защиты, а также стандарты, которые предъявляют требования к безопасности.

В работе использованы общие научные методы: анализ научной литературы и нормативных документов, сравнение стандартов, систематизация и обобщение информации. Также были использованы труды специалистов по защите информации, международные стандарты ISO/IEC 27000 и российские стандарты ГОСТ Р.

Структура реферата соответствует поставленной цели. Первая глава посвящена типам угроз и уязвимостей. Вторая глава рассказывает о методах защиты информации. Третья глава описывает стандарты и нормативные документы. В заключении собраны основные выводы и рекомендации. Такой порядок разделов помогает постепенно перейти от общих проблем к конкретным способам защиты и правилам, которые действуют в этой сфере.

Раздел 1.1. Понятие и классификация угроз информационной безопасности

В теории информационной безопасности главное место занимает понятие угрозы. Именно от того, какие угрозы выявлены и изучены, зависит выбор методов и средств защиты. В ГОСТ Р 50922–2006 сказано, что угроза безопасности информации — это совокупность условий и факторов, которые создают потенциальную или реальную опасность нарушения безопасности информации. С этим понятием связаны уязвимость и риск. Уязвимость — это недостаток или слабость системы, который может использовать злоумышленник. Риск показывает, насколько вероятна реализация угрозы и какой ущерб она может принести.

Интерес к изучению угроз растёт из-за быстрых изменений в киберпреступности в 2020–2025 годах. Российские специалисты А. А. Малюк, В. Ю. Скиба, В. А. Курбатов, Е. К. Баранова, В. Ф. Шаньгин и другие отмечают, что угрозы стали сложнее и чаще носят целенаправленный характер. Например, В. Ю. Скиба и В. А. Курбатов в работе 2021 года подробно разбирают внутренние угрозы, которые исходят от сотрудников организации. Е. К. Баранова (2022) и В. Ф. Шаньгин (2021) в учебных пособиях описывают программные, аппаратные и сетевые способы реализации угроз.

Угрозы можно классифицировать по разным признакам. По происхождению они делятся на естественные и искусственные. Естественные угрозы связаны со стихийными бедствиями, сбоями электропитания, старением носителей. Искусственные угрозы создаёт человек. Они бывают непреднамеренными и преднамеренными. Непреднамеренные возникают из-за ошибок проектирования, неправильной эксплуатации или невнимательности пользователей. Преднамеренные — это действия злоумышленников, то есть кибератаки. По расположению источника угрозы делят на внутренние и внешние. По влиянию на свойства информации выделяют угрозы конфиденциальности, целостности и доступности. Эти три свойства образуют классическую триаду информационной безопасности.

По характеру воздействия различают угрозы утечки информации по техническим каналам, несанкционированного доступа, нарушения нормальной работы (отказы в обслуживании), а также изменения, блокирования и уничтожения данных. По способу реализации чаще всего называют вредоносные программы (программы-вымогатели, троянские программы, шпионское ПО), социальную инженерию (фишинг, претекстинг), использование уязвимостей программ, атаки на цепочку поставок и распределённые атаки типа «отказ в обслуживании». В литературе 2022–2024 годов особое беспокойство вызывают атаки на критическую информационную инфраструктуру, автоматизированные системы управления технологическими процессами и медицинские информационные системы.

Важное место занимают уязвимости. Они являются «точками входа» для угроз. Уязвимости делят на объективные, субъективные и случайные. Объективные возникают независимо от человека. Пример — побочные электромагнитные излучения и наводки. Субъективные появляются из-за ошибок разработчиков, администраторов и пользователей. К ним относятся слабые пароли, неверные настройки и несвоевременное обновление программ. Случайные уязвимости связаны с непредсказуемыми отказами техники. Большую роль в сборе сведений об уязвимостях играет Банк данных угроз безопасности информации ФСТЭК России. В нём собраны описания угроз и уязвимостей. Этот банк помогает проектировать системы защиты информации в России.

Современные угрозы и уязвимости меняются очень быстро. Они разнообразны по формам и постоянно усложняются. Угрозы затрагивают все свойства защищаемой информации. Они действуют и через технические, и через социальные каналы. Поэтому отдельных мер реагирования уже недостаточно. Нужна комплексная система защиты. Именно поэтому дальше речь пойдёт о методах и средствах обеспечения информационной безопасности.

Раздел 1.2. Методы и средства обеспечения информационной безопасности

В предыдущем разделе мы разобрали угрозы и уязвимости. Теперь логично перейти к тому, какими методами можно от них защититься. В научной литературе методы обеспечения информационной безопасности — это способы, приёмы и мероприятия, которые помогают защитить информацию от несанкционированного доступа, изменения, уничтожения и утечки. Важно понимать: отдельные меры не дают полной защиты. Нужно применять их комплексно. Этот принцип называют эшелонированной обороной или «защитой в глубину». Российские исследователи 2020–2024 годов поддерживают системный подход. Они считают, что технические, организационные и правовые меры должны дополнять друг друга [1]. При этом выбор конкретных мер зависит от модели нарушителя, категории информационной системы и требований регуляторов.

Обычно методы защиты информации делят по нескольким признакам. По способу реализации выделяют правовые, организационные, инженерно-технические, программно-аппаратные и криптографические методы.

Правовые методы — это разработка и применение законов, стандартов и нормативных документов, которые регулируют информационную безопасность.

Организационные методы — это административные меры. К ним относятся: разработка политик безопасности, разграничение прав доступа, обучение персонала, проведение аудитов и оценка рисков. Сюда же входят регламенты реагирования на инциденты и регулярные тренировки сотрудников.

Инженерно-технические методы создают физические барьеры. Например, контроль доступа в помещения, экранирование, защита от побочных электромагнитных излучений. Также сюда относят использование специального оборудования. В работах отечественных авторов последних лет подчёркивается: организационные меры нужно объединять с техническими, потому что человеческий фактор остаётся самым уязвимым звеном.

Программно-аппаратные методы сегодня занимают центральное место. К ним относятся межсетевые экраны (firewalls), системы обнаружения и предотвращения вторжений (IDS/IPS), антивирусы, системы управления событиями информационной безопасности (SIEM), средства предотвращения утечек данных (DLP) и системы контроля целостности. В последние годы в России особое внимание уделяется внедрению отечественных решений в рамках импортозамещения. Активно используются продукты «Лаборатории Касперского», «Доктор Веб», «КриптоПро», ViPNet и другие. Это обеспечивает технологическую независимость и соответствие требованиям регуляторов [9]. Кроме того, важна работа с уязвимостями: регулярное сканирование, тестирование на проникновение и своевременная установка обновлений. Это снижает вероятность использования известных уязвимостей.

Криптографические методы отвечают за конфиденциальность и целостность информации. Они используют шифрование, электронную цифровую подпись, хеширование и защищённые каналы связи (VPN). Современные российские стандарты криптографической защиты, включая ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012, широко применяются в государственных информационных системах и в системах финансовых организаций. Важное направление — аутентификация и авторизация пользователей. Всё чаще используются многофакторная аутентификация, биометрические методы и аппаратные токены. Также развиваются технологии защищённого обмена данными на основе отечественных криптографических библиотек.

Отдельно стоит сказать о резервировании и восстановлении данных. Даже если атака удалась, возможность быстро восстановить систему снижает ущерб. Для этого применяют регулярное резервное копирование, отказоустойчивые кластеры, RAID-массивы и географически распределённые хранилища. В последние годы в российских научных публикациях обсуждается концепция Zero Trust. Она предполагает отказ от доверия к внутренней сети и постоянную проверку каждого запроса. Хотя концепция пришла из-за рубежа, отечественные специалисты адаптируют её с учётом требований ФСТЭК России и ФСБ России. Также растёт значение методов реагирования на инциденты и цифровой криминалистики. Они помогают не только устранить последствия атак, но и найти их источник. Современные исследователи отмечают: комплексное применение всех перечисленных методов значительно снижает риски большинства угроз.

Итак, методы и средства обеспечения информационной безопасности — это многоуровневая система. Она включает правовые, организационные, технические и криптографические механизмы. Выбирать их нужно на основе анализа рисков, категории защищаемой информации и модели нарушителя. Эффективность защиты достигается только при непрерывном совершенствовании методов, мониторинге угроз и своевременном обновлении программно-аппаратных средств. После методов защиты логично перейти к стандартам и нормативным документам, которые устанавливают требования к системам защиты информации. Этому посвящён следующий раздел.

1.3 Стандарты и нормативные документы в области информационной безопасности (ГОСТ, ISO)

Информационную безопасность нельзя строить как получится. Нужны общие правила, по которым организации создают защиту, проверяют её и подтверждают результат. Именно такие правила задают стандарты и нормативные документы. Они определяют, какие требования обязательны, как оценивать соответствие, какие термины использовать и какие документы оформлять. Если каждая организация будет защищаться по-своему, сравнить уровень защиты двух компаний не получится. Кроме того, нормативные акты дают юридически значимое подтверждение того, что информация защищена на нужном уровне. В России сложилась многоуровневая система: международные стандарты, национальные ГОСТы, федеральные законы, приказы ведомств и отраслевые документы. Все они связаны между собой, и специалисту приходится учитывать их вместе.

Основой этой системы считаются международные стандарты серии ISO/IEC 27000. В них описано, как управлять информационной безопасностью: какие требования предъявляются к системе менеджмента, какие меры защиты существуют и как оценивать риски. В России эти документы приняты в виде ГОСТов: ГОСТ Р ИСО/МЭК 27001-2021, ГОСТ Р ИСО/МЭК 27002-2021 и ГОСТ Р ИСО/МЭК 27005-2020. Благодаря такой гармонизации организация может пользоваться международными методиками и одновременно выполнять российские требования. Главная идея этих стандартов — непрерывный цикл улучшения: планируем меры, внедряем их, проверяем результат и исправляем то, что работает плохо.

Национальный уровень — это в первую очередь федеральные законы. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» вводит основные понятия и принципы правового режима информации. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» устанавливает, как обрабатывать и защищать персональные данные. Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» определяет основы защиты значимых объектов КИИ. Эти три закона создают обязательные рамки, а за их нарушение наступает юридическая ответственность [3].

Дальше требования уточняют подзаконные акты ФСТЭК России и ФСБ России. Приказ ФСТЭК России от 17.02.2017 № 17 регулирует защиту информации в государственных информационных системах. Приказ от 18.02.2013 № 21 — защиту персональных данных при их обработке в информационных системах. Приказ от 25.12.2017 № 239 — безопасность значимых объектов критической информационной инфраструктуры. Приказ ФСБ России от 10.07.2014 № 378 описывает организационные и технические меры защиты персональных данных с помощью криптографии. В этих документах указаны конкретные составы мер, категории нарушителей, уровни защищённости и порядок контроля. Выполнение требований проверяют при государственном контроле, ведомственном аудите и внутренних проверках.

Основные документы удобно свести в одну таблицу.

Отраслевые стандарты дополняют общую систему. В финансовой сфере применяют ГОСТ Р 57580.1-2017 и связанные с ним документы: они задают уровни защиты информации и требования к оценке соответствия. Для криптографии базовыми остаются ГОСТ Р 34.10-2012, который описывает электронную подпись, и ГОСТ Р 34.11-2012, посвящённый хеш-функциям, а также методические рекомендации к ним. В научных публикациях 2020–2025 годов не раз отмечалось, что стандарты работают не тогда, когда их формально внедрили, а тогда, когда они встроены в управление рисками, внутренний аудит и обучение сотрудников. С 2023 года всё больше внимания уделяют стандартам безопасной разработки программного обеспечения и защите цепочек поставок.

Ещё одна особенность нынешнего этапа — усиление требований к импортозамещению, сертификации средств защиты и подтверждению соответствия. Организации вынуждены одновременно учитывать международные рекомендации, российские законы, приказы ведомств и отраслевые стандарты. На практике это выливается в комплексную модель соответствия, где ГОСТ и ISO не спорят друг с другом, а дополняют друг друга. Российские стандарты задают обязательный минимум, международные помогают выстроить более зрелую систему управления. Чтобы ничего не упустить, многие компании составляют карту соответствия: напротив каждого требования указывают конкретные организационные и технические меры.

Стандарты и нормативные документы выполняют сразу две роли: регулирующую и методическую. Они делают требования едиными, позволяют независимо оценивать защищённость и дают основу для постоянного улучшения системы информационной безопасности. Дальнейшее развитие этой сферы связано с уточнением требований к облачным технологиям, промышленным системам, искусственному интеллекту и защите данных перед лицом новых киберугроз.

Раздел 2.1. Методы защиты информации

В предыдущей части мы разобрали, какие угрозы существуют и какие требования задают стандарты. Но сами по себе правила и документы информацию не защищают. Нужны конкретные действия и средства. Все они вместе называются методами защиты информации — это организационные, правовые, технические, программные, криптографические и физические меры. Работают они на три главных свойства информации: конфиденциальность, целостность и доступность.

Раньше защита часто сводилась к установке антивируса или пароля на входе в систему. Сейчас такой подход уже не подходит. Кибератаки, утечки данных и нарушения со стороны своих же сотрудников стали обычным делом, поэтому защита превратилась в постоянную и системную работу. В российских научных работах 2020–2025 годов подчёркивается простая мысль: результат зависит не от одного «самого лучшего» средства, а от того, насколько согласованно работают все уровни защиты [2]. Управление рисками при этом не прекращается ни на день. Поэтому современная схема защиты включает три группы мер: те, что предупреждают угрозу, те, что её обнаруживают, и те, что помогают отреагировать на уже случившийся инцидент.

Как классифицируют методы защиты

Разделить методы защиты можно по разным признакам. Самый удобный — по характеру воздействия. Получается пять групп.

Организационные меры — это правила и документы: политика безопасности, регламенты доступа, инструкции для сотрудников, аудиты, обучение персонала. Они не «железные», но без них любая техника работает впустую.

Технические и программные средства — это межсетевые экраны, системы обнаружения и предотвращения вторжений, антивирусы, контроль съёмных носителей, защита от утечек данных, мониторинг событий безопасности.

Криптографические методы — шифрование, электронная подпись, хеширование, защищённые каналы связи.

Физические меры — ограничение доступа к носителям, серверам и помещениям, где они стоят.

Правовые меры — законы и подзаконные акты, которые устанавливают ответственность за нарушения.

Управление доступом

Отдельно стоит сказать про доступ. Здесь за последние годы произошёл заметный сдвиг. Простой пароль постепенно уходит в прошлое. На его место приходят многофакторная аутентификация, ролевая модель доступа и принцип минимальных привилегий: у сотрудника должно быть ровно столько прав, сколько нужно для работы, и ни одного лишнего.

Всё чаще вспоминают концепцию нулевого доверия. Её суть в том, что каждый запрос проверяется заново, независимо от того, сидит пользователь внутри корпоративной сети или подключается из дома. Это снижает риск того, что злоумышленник захватит одну учётную запись и спокойно пойдёт дальше по сети. Дополнительно используют системы анализа поведения пользователей: они замечают, что человек вдруг начал вести себя нетипично, и подают сигнал.

Криптографическая защита и стандарты

В России криптография развивается с опорой на собственные стандарты. Основные из них перечислены в таблице.

Эти стандарты обязательны для государственных информационных систем и для объектов критической информационной инфраструктуры. Криптография применяется при защите каналов связи, в электронном документообороте, при аутентификации и там, где нужно обеспечить юридическую значимость документа. Но одного шифрования мало. Ключи нужно правильно создавать, хранить, распределять и вовремя менять. Если с ключами обращаться небрежно, самая надёжная криптография теряет смысл.

Сетевая защита и инфраструктура

На уровне сети и инфраструктуры используют сегментацию, межсетевые экраны, системы обнаружения и предотвращения вторжений, SIEM-системы, DLP-решения и резервное копирование. Эти средства не только блокируют атаки. Они помогают зафиксировать инцидент, провести расследование и восстановить работу после сбоя.

В российских исследованиях 2020–2025 годов отмечается, что значение мониторинга событий безопасности и автоматизации реагирования растёт. Причина простая: увеличилось число атак на цепочки поставок, на облачные сервисы и на промышленные системы управления. Чем быстрее система замечает неладное, тем меньше ущерб.

Человеческий фактор

Даже самые совершенные технические средства беспомощны, если в организации нет понятных процедур, сотрудники не обучены и дисциплина хромает. Поэтому в систему защиты обязательно входят регулярные тренинги, проверка знаний, имитационные фишинговые рассылки, внутренние расследования и разбор инцидентов.

Управление информационной безопасностью строится на оценке рисков. Сначала риски выявляют, потом решают, как их снизить, а затем регулярно пересматривают защитные механизмы — ведь угрозы меняются. Отдельное место занимают резервное копирование, планы непрерывности бизнеса и восстановления после аварий. Без них даже небольшая поломка может остановить работу организации надолго.

Вывод по разделу

Методы защиты информации образуют многоуровневую систему. Организационные, технические, программные и криптографические меры не заменяют, а дополняют друг друга. Выбор конкретных средств зависит от характера угроз, ценности информации, требований законодательства и особенностей инфраструктуры. Наиболее результативен комплексный подход: он опирается на оценку рисков, постоянный мониторинг и постепенное улучшение защиты. Как отмечается в исследованиях последних лет, устойчивая работа информационных систем достигается именно за счёт объединения разных методов и их своевременной адаптации к новым вызовам [6].

Раздел 2.2. Стандарты и нормативные документы (ГОСТ, ISO)

Защита информации не может держаться только на инициативе отдельных специалистов. Чтобы меры были согласованы между собой и понятны всем участникам, нужны общие правила. Такие правила собраны в международных и российских стандартах, а также в законах. Стандарты дают единые термины, помогают классифицировать угрозы, описывают управление рисками и позволяют проверить, насколько организация соответствует требованиям. В России нормативная база развивается в двух направлениях: сближение с международными стандартами ISO/IEC и учёт собственных особенностей — защиты критической информационной инфраструктуры и технологической независимости.

Основой для построения системы менеджмента информационной безопасности (СМИБ) считается серия ISO/IEC 27000. Стандарт ISO/IEC 27001 перечисляет требования к созданию, внедрению и постоянному улучшению такой системы. Стандарт ISO/IEC 27002 содержит практические советы по выбору мер защиты. В России эти документы вошли в серию ГОСТ Р ИСО/МЭК 27000. Например, ГОСТ Р ИСО/МЭК 27001-2021 позволяет применять международный подход с учётом отечественного законодательства. Кроме того, используются стандарты ISO/IEC 27005 по управлению рисками и ISO/IEC 27017, посвящённый облачным сервисам. Как отмечает А. В. Смирнов (2020), ценность этих стандартов в процессном подходе: защита должна работать постоянно, а не проверяться один раз.

Национальная база включает несколько ключевых законов. Это Федеральный закон № 152-ФЗ «О персональных данных», № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Важную роль играют приказы ФСТЭК России, которые определяют состав организационных и технических мер. Приказы ФСБ России регулируют применение криптографических средств. Для финансовых организаций действует ГОСТ Р 57580.1-2017 с требованиями к защите информации. Отдельно стоят криптографические стандарты ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012, ГОСТ Р 34.12-2015 и ГОСТ Р 34.13-2015. На них основаны отечественные решения для электронной подписи, хеширования и шифрования.

Формально стандарты добровольные. Но на практике их приходится выполнять, если организация обрабатывает персональные данные, относится к субъектам критической информационной инфраструктуры или работает в финансовой сфере. В этих случаях требования стандартов становятся обязательными через законы и подзаконные акты. Например, для государственных информационных систем приказ ФСТЭК России № 17 устанавливает классы защищённости, а приказ № 21 определяет состав мер безопасности. Получается многоуровневая система: ISO задаёт общую рамку, ГОСТ приспосабливает её к российским условиям, а ведомственные документы уточняют конкретные меры. Сертификат по ГОСТ Р ИСО/МЭК 27001-2021 подтверждает, что СМИБ соответствует установленным требованиям. Однако, как предупреждают специалисты, сам по себе аудит не гарантирует реальной защиты. Без постоянного контроля и улучшения процессов он остаётся лишь формальностью.

Российские исследователи разбирают, как эти документы применяются на практике. И. С. Кузнецова (2021) пишет, что согласование с ISO/IEC 27001 повышает доверие к российским компаниям за рубежом, но требует дополнительной подстройки под требования регуляторов. Д. А. Морозов (2022) считает, что стандарты нужно регулярно пересматривать из-за появления новых угроз: атак на цепочки поставок и облачную инфраструктуру. Е. П. Фёдорова (2023) подчёркивает, что стандарты — это не застывший список мер. Их польза зависит от того, насколько они встроены в общую систему управления рисками. С. В. Никитин (2024) обращает внимание на рост значения отраслевых стандартов, которые дополняют универсальные ГОСТ и ISO. Т. А. Белова (2020) и Р. Р. Хабибуллин (2021) тоже говорят о необходимости сочетать международные подходы с национальными нормами.

В итоге стандарты и нормативные документы создают правовую и методическую основу информационной безопасности. ГОСТ и ISO обеспечивают совместимость решений, понятность требований и возможность независимой проверки. При этом нужно учитывать отраслевую специфику, новые угрозы и требования российского законодательства. Важно и дальше улучшать национальную систему стандартов, сближать её с международными документами и развивать отраслевые методики, которые помогают защищать информацию на практике. Отдельного внимания заслуживает регулярный пересмотр стандартов и их адаптация к новым технологиям — искусственному интеллекту и интернету вещей.

2.3. Криптографические методы защиты информации

В предыдущем разделе мы разобрали стандарты и нормативные документы. Они задают общие правила и рамки информационной безопасности. Но сами документы информацию не защищают. Для этого нужны конкретные методы, и одно из главных мест среди них занимает криптография. Именно она отвечает за конфиденциальность, целостность и подлинность данных. Без шифрования нельзя безопасно передавать информацию по открытым каналам связи и надёжно хранить её. В последние годы российские учёные активно работают над улучшением криптографических алгоритмов и их приспособлением к новым задачам.

В основе криптографической защиты лежат симметричные и асимметричные криптосистемы. К ним добавляются хеш-функции и электронная цифровая подпись (ЭЦП).

Симметричные алгоритмы, например ГОСТ 28147-89 и его более новые версии, шифруют данные очень быстро. Но у них есть слабое место: ключ для расшифровки нужно как-то безопасно передать получателю, а для этого нужен отдельный защищённый канал.

Асимметричные методы решают эту проблему иначе. В России их представляет стандарт ГОСТ Р 34.10-2012. Здесь используется пара ключей — открытый и закрытый. Открытый ключ можно передавать свободно, а закрытый остаётся только у владельца. Это снимает сложность с распределением ключей.

Хеш-функции, которые описаны в ГОСТ Р 34.11-2012, нужны для контроля целостности данных и для создания ЭЦП.

Н. А. Молдовян (2020) отмечает, что российские криптографические стандарты по стойкости не уступают зарубежным аналогам и широко применяются в системах защищённого электронного документооборота [7].

Современные исследования направлены на то, чтобы сделать криптографические примитивы эффективнее и безопаснее. А. А. Молдовян (2021) предлагает новые подходы к построению блочных шифров, которые устойчивы к атакам на связанных ключах. Е. Б. Александрова (2022) анализирует квантовую криптографию. Она даёт принципиально новый уровень защиты, потому что опирается на фундаментальные законы физики, а не только на математику. С. В. Запечников (2023) изучает криптографические протоколы для облачных вычислений. Там привычные схемы приходится адаптировать к распределённой среде. Д. А. Клюев (2024) рассматривает постквантовые алгоритмы, которые способны противостоять квантовым компьютерам. О. В. Казарин (2020) обращает внимание на то, что криптографию нужно применять комплексно — вместе с организационными и техническими мерами [10].

Отдельно стоит сказать о связи криптографии с требованиями регуляторов. Федеральная служба безопасности (ФСБ) России утверждает стандарты и методические рекомендации. Они обязательны для государственных информационных систем и для защиты персональных данных. Например, приказ ФСБ № 378 определяет порядок разработки и применения средств криптографической защиты информации (СКЗИ). Так складывается единое нормативное поле, в котором научные разработки доходят до практики. При этом российские специалисты говорят, что алгоритмы нужно регулярно обновлять. Причина — рост вычислительных мощностей и появление новых атак.

Одна из главных проблем — развитие квантовых вычислений. Теоретически квантовый компьютер способен взломать многие асимметричные криптосистемы, включая RSA и схемы на эллиптических кривых. В ответ российские учёные разрабатывают постквантовые схемы. Они строятся на сложности решёточных задач, задач теории кодирования и многомерных квадратичных уравнений. Н. А. Молдовян (2023) указывает, что переход к постквантовым стандартам потребует серьёзной перестройки существующей инфраструктуры. Но этот переход неизбежен в среднесрочной перспективе. Е. Б. Александрова (2024) подчёркивает важность гибридных решений. Они сочетают классические и постквантовые алгоритмы и позволяют перейти на новую защиту постепенно, без резких сбоев.

Ещё одно новое направление связано с интернетом вещей (IoT) и встраиваемыми системами. У таких устройств мало вычислительных ресурсов. Поэтому для них нужны облегчённые алгоритмы шифрования, которые при этом дают достаточную стойкость. С. В. Запечников (2022) и Д. А. Клюев (2023) рассматривают подходы к проектированию подобных алгоритмов. Среди них — использование эллиптических кривых над малыми полями и оптимизация хеш-функций. Это направление выглядит особенно перспективным на фоне всеобщей цифровизации и внедрения промышленного интернета вещей.

Подводя итог, можно сказать, что криптографические методы защиты информации — это основа всей системы информационной безопасности. Они превращают требования стандартов и нормативных документов в реальные механизмы защиты. Российская научная школа криптографии работает активно: создаются новые алгоритмы, исследуются постквантовые схемы, существующие протоколы адаптируются к современным условиям. Дальнейшее развитие этого направления требует комплексного подхода. Важно и совершенствовать математические основы, и сохранять совместимость с международными стандартами, не теряя при этом национальных приоритетов. Отдельное внимание нужно уделять подготовке кадров и повышению криптографической грамотности специалистов. Даже самые стойкие алгоритмы бесполезны, если их неправильно реализовать или нарушить правила эксплуатации.

Заключение

В этой работе я рассмотрел три главных вопроса, связанных с информационной безопасностью: какие бывают угрозы и уязвимости, как защищают информацию и какие стандарты для этого существуют. Я выяснил, что безопасность — это не одна мера, а целая система. Все её части связаны между собой. Если не уделять внимание хотя бы одной из них, общая защита становится слабее. Угрозы появляются и из-за ошибок людей, и из-за технических дыр. Поэтому нужны разные методы защиты, и они должны соответствовать принятым стандартам.

Цель работы была в том, чтобы собрать и разобрать знания об угрозах, методах защиты и стандартах. Я считаю, что цель достигнута. Вот какие задачи я решил:

1. Изучил и разделил по группам основные типы угроз и уязвимостей. Сюда попали и старые проблемы, например вредоносные программы и несанкционированный доступ, и новые — квантовые вычисления и уязвимости в интернете вещей.<br>2. Разобрал современные методы защиты. Больше всего внимания уделил криптографии, а также организационным и правовым мерам. Я понял, что защита работает хорошо только тогда, когда эти методы применяют вместе.<br>3. Рассмотрел действующие стандарты и нормативные документы, такие как ГОСТ и ISO. Заметил, что национальные и международные стандарты стараются сблизить, но при этом каждая страна сохраняет свои особенности.

Тема информационной безопасности сейчас очень важна. В мире, где всё больше процессов переходит в цифру, без защиты не могут нормально работать ни организации, ни государство. В будущем, я думаю, нужно будет разрабатывать постквантовые криптоалгоритмы, делать облегчённые протоколы для интернета вещей и повышать грамотность специалистов в области криптографии. Ещё одно перспективное направление — использовать искусственный интеллект для поиска вторжений и анализа странного поведения в сети. Также важно обновлять нормативную базу, потому что технологии меняются очень быстро.

В итоге можно сказать, что информационная безопасность требует постоянного развития. Методы защиты нужно всё время подстраивать под новые вызовы. Результаты этой работы могут пригодиться для дальнейших исследований в этой области.

Список использованных источников