{"id":5812,"date":"2023-03-15T12:34:20","date_gmt":"2023-03-15T12:34:20","guid":{"rendered":"https:\/\/texnokun.uz\/?p=5812"},"modified":"2023-03-15T12:34:20","modified_gmt":"2023-03-15T12:34:20","slug":"axborot-xavfsizligi-infosec-nima","status":"publish","type":"post","link":"https:\/\/texnokun.uz\/?p=5812","title":{"rendered":"Axborot <\/strong>X<\/strong>avfsizligi (InfoSec) nima?<\/strong><\/strong>"},"content":{"rendered":"\n
\"\"<\/figure>\n\n\n\n

Axborot xavfsizligi (ba’zan InfoSec <\/strong>deb ataladi) tashkilotlarning axborotni himoya qilish uchun foydalanadigan vositalar va jarayonlarini qamrab oladi. Bunga ruxsatsiz shaxslarning biznes yoki shaxsiy ma\u02bclumotlarga kirishiga to\u02bbsqinlik qiluvchi siyosiy sozlamalari kiradi. InfoSec – tarmoq va infratuzilma xavfsizligidan tortib, sinov va auditgacha bo’lgan keng doiradagi sohalarni qamrab oluvchi o’sib borayotgan va rivojlanayotgan sohadir.<\/p>\n\n\n\n

Axborot xavfsizligi maxfiy ma’lumotlarni ruxsatsiz harakatlardan, jumladan, tekshirish, o’zgartirish, yozib olish va har qanday buzilish yoki yo’q qilishdan himoya qiladi. Maqsad – mijoz hisobi tafsilotlari, moliyaviy ma’lumotlar yoki intellektual mulk kabi muhim ma’lumotlarning xavfsizligi va maxfiyligini ta’minlash hisoblanadi.<\/p>\n\n\n\n

Xavfsizlik hodisalarining oqibatlari shaxsiy ma’lumotlarni o’g’irlash, ma’lumotlarni buzish va ma’lumotlarni o’chirishni o’z ichiga oladi. Hujumlar ish jarayonlarini buzishi va kompaniya obro’siga putur yetkazishi, shuningdek, sezilarli miqdordagi xarajatlarga olib kelishi mumkin.<\/p>\n\n\n\n

Tashkilotlar xavfsizlik choralari uchun mablag’ ajratishlari va ular fishing , zararli dasturlar , viruslar, zararli insayderlar va to’lov dasturlari kabi hujumlarni aniqlash, javob berish hamda faol ravishda oldini olishga tayyor bo’lishlarini ta’minlashi kerak .<\/p>\n\n\n\n

Axborot xavfsizligining 3 ta tamoyili nimalardan iborat?<\/strong><\/strong><\/h2>\n\n\n\n

Axborot xavfsizligining asosiy qoidalari maxfiylik, yaxlitlik <\/em>va mavjudlikdir<\/em>. Axborot xavfsizligi dasturining har bir elementi ushbu tamoyillardan birini yoki bir nechtasini amalga oshirish uchun ishlab chiqilishi kerak. Ular birgalikda Markaziy razvedka boshqarmasi triadasi<\/em> deb ataladi.<\/p>\n\n\n\n

Maxfiylik<\/strong><\/strong><\/h3>\n\n\n\n

Maxfiylik choralari ma’lumotlarning ruxsatsiz oshkor etilishining oldini olish uchun mo’ljallangan. Maxfiylik tamoyilining maqsadi shaxsiy ma’lumotlarning maxfiyligini ta’minlash va ular faqat unga ega bo’lgan yoki o’zlarining tashkiliy funksiyalarini bajarishi uchun kerak bo’lgan shaxslarga ko’rinadigan va ochiq bo’lishini ta’minlashdir.<\/p>\n\n\n\n

Yaxlit<\/strong>lik<\/strong><\/strong><\/h3>\n\n\n\n

Yaxlitlik ma’lumotlarga ruxsat etilmagan o’zgarishlardan (qo’shimchalar, o’chirishlar, o’zgartirishlar va boshqalar) himoya qilishni o’z ichiga oladi. Yaxlitlik tamoyili ma’lumotlarning to’g’ri va ishonchli bo’lishini hamda tasodifiy yoki zararli shaklda noto’g’ri o’zgartirilmasligini ta’minlaydi.<\/h3>\n\n\n\n

Mavjudligi<\/strong><\/strong><\/h3>\n\n\n\n

Mavjudlik – tizimning dasturiy ta’minot tizimlari va ma’lumotlarini foydalanuvchiga kerak bo’lganda (yoki ma’lum bir vaqtda) to’liq foydalanish imkoniyatini himoya qilishdir. Mavjudlikning maqsadi texnologik infratuzilmani, ilovalarni va ma’lumotlarni tashkiliy jarayon yoki tashkilot mijozlari uchun zarur bo’lganda mavjud qilishdir.<\/a><\/p>\n\n\n\n

Axborot xavfsizligi va kiberxavfsizlik<\/strong><\/h2>\n\n\n\n
\"\"\/<\/figure>\n\n\n\n

Axborot xavfsizligi kiberxavfsizlikdan<\/a> ko’lami va maqsadi jihatidan farq qiladi. Bu ikki atama ko’pincha bir-birining o’rnida ishlatiladi, ammo aniqrog’i, kiberxavfsizlik axborot xavfsizligining kichik ko\u2019rinishidir. Axborot xavfsizligi – bu jismoniy xavfsizlik, endpoint (so\u2019nggi nuqta) xavfsizligi, ma’lumotlarni shifrlash va tarmoq xavfsizligi kabi ko’plab sohalarni qamrab oluvchi keng soha sanaladi. Shuningdek, bu ma’lumotni tabiiy ofatlar va serverdagi nosozliklar kabi tahdidlardan himoya qiluvchi axborot kafolati bilan chambarchas bog’liq bo\u2019ladi.<\/p>\n\n\n\n

Kiberxavfsizlik, birinchi navbatda, texnologiya bilan bog’liq tahdidlarga, ularning oldini olish yoki yumshatishga yordam beradigan amaliyotlar va vositalar bilan shug’ullanadi. Boshqa tegishli kategoriya – bu ma’lumotlar xavfsizligi bo’lib, u tashkilot ma’lumotlarini ruxsat berilmagan shaxslarning tasodifiy yoki zararli ta’siridan himoya qilishga qaratilgan bo\u2019ladi.<\/p>\n\n\n\n

Axborot xavfsizligi siyosati<\/strong><\/strong><\/h2>\n\n\n\n

Axborot xavfsizligi siyosati (ISP) – bu IT (Axborot texnologiyalari) aktivlaridan foydalanishda shaxslarga rahbarlik qiluvchi qoidalar to’plamidir. Kompaniyalar xodimlar va boshqa foydalanuvchilarning xavfsizlik protokollari va protseduralariga rioya qilishlarini ta’minlash uchun axborot xavfsizligi siyosatini yaratishi mumkin. Xavfsizlik siyosati faqat vakolatli foydalanuvchilarning maxfiy tizimlar va ma’lumotlarga kirishini ta’minlash uchun mo’ljallanganbo\u2019ladi.<\/p>\n\n\n\n

Samarali xavfsizlik siyosatini yaratish va rioya etilishini ta’minlash choralarini ko’rish xavfsizlik tahdidlarining oldini olish va kamaytirish yo’lidagi muhim qadamdir. Siyosatingiz haqiqatan ham samarali bo\u02bblishi uchun uni kompaniyadagi o\u02bbzgarishlar, yangi tahdidlar, oldingi qoidabuzarliklardan olingan xulosalar hamda xavfsizlik tizimlari va vositalariga kiritilgan o\u02bbzgarishlar asosida tez-tez yangilab turing.<\/p>\n\n\n\n

Axborot xavfsizligi strategiyangizni amaliy va oqilona tarzda shakllantiring. Tashkilot ichidagi turli bo’limlarning ehtiyojlari va dolzarbligini qondirish uchun bo’limlar yoki shaxslarga muayyan vaziyatlarda qoidalardan chetga chiqishga imkon beradigan tasdiqlash jarayoni bilan istisnolar tizimini qo’llash kerak.<\/p>\n\n\n\n

Axborot xavfsizligining asosiy tahdidlari nimalardan iborat?<\/strong><\/h2>\n\n\n\n
\"\"\/<\/figure>\n\n\n\n

Axborot xavfsizligi tahdidlarining yuzlab toifalari va millionlab ma’lum tahdid vektorlari mavjud. Quyida biz zamonaviy korxonalarda xavfsizlik guruhlari uchun ustuvor bo’lgan ba’zi asosiy tahdidlarni ko’rib chiqamiz.<\/p>\n\n\n\n

Xavfsiz yoki <\/strong>zaif<\/strong> himoyalangan tizimlar<\/strong><\/strong><\/h3>\n\n\n\n

Tezlik va texnologik rivojlanish ko’pincha xavfsizlik choralarida murosaga olib keladi. Boshqa hollarda, tizimlar xavfsizlikni hisobga olmagan holda ishlab chiqilgan bo\u2019lishi mumkin va ular tashkilotda eski tizim sifatida ishlaydi. Tashkilotlar ushbu zaif himoyalangan tizimlarni aniqlashlari va ularni himoya qilish yoki tuzatish, foydalanishdan chiqarish yoki izolyatsiya qilish orqali tahdidni kamaytirishlari kerak.<\/p>\n\n\n\n

Ijtimoiy tarmoqlarga hujumlar<\/strong><\/strong><\/h3>\n\n\n\n

Ko’pchilikning ijtimoiy tarmoqlarda akkauntlari bor, ular ko’pincha o’zlari haqida juda ko’p ma’lumot almashishadi. Hujumchilar to’g’ridan-to’g’ri ijtimoiy media orqali hujumlarni amalga oshirishi mumkin, masalan, ijtimoiy media xabarlari orqali zararli dasturlarni tarqatish yoki bilvosita, ushbu saytlardan olingan ma’lumotlardan foydalanuvchi va tashkilotning zaifliklarini tahlil qilish va ulardan hujumni loyihalash uchun foydalanishlari mumkin.<\/p>\n\n\n\n

Ijtimoiy muhandislik<\/strong> <\/strong>(<\/em>Social Engineering<\/em>)<\/em><\/h3>\n\n\n\n

Ijtimoiy muhandislik tajovuzkorlarning elektron pochta va xabarlarni jo’natishini o’z ichiga oladi, bu foydalanuvchilarni ularning xavfsizligiga putur yetkazadigan yoki shaxsiy ma’lumotlarni oshkor qilishi mumkin bo’lgan harakatlarni amalga oshirishga undaydi. Hujumchilar qiziqish, shoshilinchlik yoki qo’rquv kabi psixologik triggerlar yordamida foydalanuvchilarni manipulyatsiya qiladi.<\/p>\n\n\n\n

Ijtimoiy muhandislik xabari manbasi ishonchli ko\u2018rinayotgani sababli, odamlar o\u2018z qurilmasiga zararli dasturlarni o\u2018rnatuvchi havolani bosishi yoki shaxsiy ma\u2019lumotlar, hisobga olish ma\u2019lumotlari yohud moliyaviy ma\u2019lumotlarni taqdim etishlari mumkin.<\/p>\n\n\n\n

Tashkilotlar foydalanuvchilarni uning xavf-xatarlaridan xabardor qilish va shubhali ijtimoiy muhandislik xabarlarini aniqlash hamda oldini olishga o’rgatish orqali ijtimoiy muhandislikni yumshata oladi. Bundan tashqari, texnologik tizimlar ijtimoiy muhandislikni manbada blokirovka qilish yoki foydalanuvchilarning noma’lum havolalarni bosish yoki noma’lum qo’shimchalarni yuklab olish kabi xavfli harakatlarni amalga oshirishiga yo’l qo’ymaslik uchun ishlatilishi mumkin.<\/p>\n\n\n\n

Endpoint(<\/em><\/strong>Oxirgi nuqtalar<\/em><\/strong>)<\/em><\/strong>da zararli dastur<\/strong><\/strong><\/h3>\n\n\n\n

Tashkiliy foydalanuvchilar turli xil so’nggi nuqta qurilmalari, jumladan, ish stoli kompyuterlari, shaxsiy kompyuterlar, planshetlar va mobil telefonlar bilan ishlaydi, ularning aksariyati xususiy mulk bo’lib, tashkilot nazorati ostida emas va ularning barchasi muntazam ravishda Internetga ulanadi.<\/p>\n\n\n\n

An’anaviy antivirus dasturlari zararli dasturlarning barcha zamonaviy shakllarini blokirovka qilish uchun yetarli emas va so’nggi nuqtalarni aniqlash hamda javob berish (EDR) kabi yanada ilg’or yondashuvlar ishlab chiqilmoqda.<\/p>\n\n\n\n

Shifrlashning <\/strong>y<\/strong>etishmasligi<\/strong><\/strong><\/h3>\n\n\n\n

Shifrlash jarayonlari ma’lumotlarni faqat maxfiy kalitlari bo’lgan foydalanuvchilar tomonidan dekodlanishi uchun kodlaydi. Uskuna yo’qolishi, o’g’irlanishi yoki tashkilot tizimlari tajovuzkorlar tomonidan buzilgan taqdirda ma’lumotlar yo’qolishi va buzilishining oldini olishda juda samaralidir.<\/p>\n\n\n\n

Afsuski, ushbu chora ko’pincha uning murakkabligi va to’g’ri amalga oshirish bilan bog’liq huquqiy majburiyatlarning yo’qligi tufayli e’tibordan chetda qolmoqda. Tashkilotlar saqlash qurilmalarini sotib olish yoki shifrlashni qo’llab-quvvatlaydigan bulut xizmatlaridan foydalanish va maxsus xavfsizlik vositalaridan foydalanish orqali shifrlashni tobora ko’proq qabul qilmoqda.<\/p>\n\n\n\n

Xavfsizlik<\/strong>ning<\/strong> noto’g’ri konfiguratsiyasi<\/strong><\/strong><\/h3>\n\n\n\n

Zamonaviy tashkilotlar juda ko’p texnologik platformalar va vositalardan, xususan, veb-ilovalar, ma’lumotlar bazalari va dasturiy ta’minot sifatida xizmat ko’rsatish (SaaS) ilovalari yoki Amazon Web Services kabi provayderlarning infratuzilmalari(IaaS)dan foydalanadilar.<\/p>\n\n\n\n

Korxona darajasidagi platformalar va bulut xizmatlari xavfsizlik xususiyatlariga ega, ammo ular tashkilot tomonidan sozlanishi kerak. Ehtiyotsizlik yoki inson xatosi tufayli xavfsizlik noto’g’ri konfiguratsiyasi xavfsizlik buzilishiga olib kelishi mumkin. Yana bir muammo – bu “konfiguratsiya o’zgarishi”, bu yerda to’g’ri xavfsizlik konfiguratsiyasi tezda eskirib ketishi va tizimni IT yoki xavfsizlik xodimlari bilmagan holda zaif holga keltirishi mumkin bo\u2019ladi.<\/p>\n\n\n\n

Tashkilotlar tizimlarni doimiy ravishda kuzatib boradigan, konfiguratsiya bo’shliqlarini aniqlaydigan va tizimlarni zaiflashtiradigan konfiguratsiya muammolarini ogohlantiradigan yoki hatto avtomatik ravishda tuzatadigan texnologik platformalar yordamida xavfsizlik noto’g’ri konfiguratsiyasini yumshata oladi.<\/p>\n\n\n\n

Faol va passiv hujumlar<\/strong><\/strong><\/h2>\n\n\n\n

Axborot xavfsizligi tashkilotlarni zararli hujumlardan himoya qilish uchun mo’ljallangan. Hujumlarning ikkita asosiy turi mavjud: faol va passiv. Faol hujumlarning oldini olish qiyinroq deb hisoblanadi va asosiy e’tibor ularni aniqlash, yumshatish va ularni tiklashga qaratiladi. Kuchli xavfsizlik choralari bilan passiv hujumlarning oldini olish esa osonroq bo\u2019ladi.<\/p>\n\n\n\n

Faol hujumlar<\/strong><\/td>Passiv hujumlar<\/strong><\/td><\/tr>
Xabarlarni, aloqalarni yoki ma’lumotlarni o’zgartiradi<\/td>Ma’lumotlar yoki tizimlarga hech qanday o’zgartirish kiritmaydi<\/td><\/tr>
Maxfiy ma’lumotlarning mavjudligi va yaxlitligiga tahdid soladi<\/td>Maxfiy ma’lumotlarning maxfiyligiga tahdid solidi<\/td><\/tr>
Tashkiliy tizimlarning shikastlanishiga olib kelishi mumkin<\/td>Tashkiliy tizimlarga bevosita zarar yetkazmaydi<\/td><\/tr>
Jabrlanuvchilar odatda hujum haqida bilishadi<\/td>Jabrlanuvchilar odatda hujum haqida bilishmaydi<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Axborot xavfsizligi va ma’lumotlarni himoya qilish qonunlari<\/strong><\/h2>\n\n\n\n
\"\"\/<\/figure>\n\n\n\n

Dunyo bo’ylab ma’lumotlarni himoya qilish qoidalari shaxsiy ma’lumotlarning maxfiyligini oshirishga qaratilgan va tashkilotlarning mijozlar ma’lumotlarini to’plash, saqlash va ulardan foydalanish usullariga cheklovlar qo’yadi. Ma’lumotlar maxfiyligi shaxsiy identifikatsiya qilinadigan ma’lumotlarga (PII) qaratilgan bo\u2019lib, birinchi navbatda ma’lumotlar qanday saqlanishi va ishlatilishi bilan bog’liq. PII to’g’ridan-to’g’ri foydalanuvchi bilan bog’lanishi mumkin bo’lgan har qanday ma’lumotlarni o’z ichiga oladi, masalan, ism, ID raqami, tug’ilgan sanasi, jismoniy manzili yoki telefon raqami kabilar. Shuningdek, u ijtimoiy media postlari, profil rasmlari va IP manzillari kabi artefaktlarni ham o’z ichiga olishi mumkin.<\/p>\n\n\n\n

Yevropa Ittifoqida (EI) ma’lumotlarni himoya qilish qonunlari: GDPR<\/strong><\/strong><\/h3>\n\n\n\n

Yevropa Ittifoqidagi eng mashhur maxfiylik qonuni Ma’lumotlarni himoya qilish bo’yicha umumiy reglamentdir<\/a> (GDPR). Ushbu qoida Yevropa Ittifoqi fuqarolari bilan bog’liq ma’lumotlarni to’plash, ishlatish, saqlash, xavfsizligi va uzatishni o’z ichiga oladi.<\/p>\n\n\n\n

GDPR, kompaniyaning o’zi Yevropa Ittifoqi ichida yoki undan tashqarida joylashganligidan qat’i nazar, Yevropa Ittifoqi fuqarolari bilan biznes yuritadigan har qanday tashkilot uchun amal qiladi. Ko’rsatmalarni buzish global savdoning 4 foizi yoki 20 million yevro miqdorida jarimaga olib kelishi mumkin.<\/p>\n\n\n\n

GDPRning asosiy maqsadlari quyidagilardan iborat:<\/strong><\/strong><\/p>\n\n\n\n