26
26
Рисунок 2. Техническая архитектура ИС предприятия
Программная архитектура
Операционная система на всех компьютерах ООО «Орбита» - Windows 10
или Windows 10. На серверах установлена ОС Windows Server 2016.
На каждом рабочем месте установлен пакет Microsot Office 2010.
В разных отделах используется различное специальное ПО для решения
профессиональных задач (рисунок 3).
27
27
Рисунок 3. Программная архитектура ИС предприятия
Рассмотрим защиту от физического проникновения. На рисунке 4
представлено здание, расположение камер наблюдения и расположение датчиков
движения (рис.4,5).
28
28
Рис.4. Расположение камер охранного видеонаблюдения.
29
29
Рис.5. Расположение датчиков движения
Результаты оценки действующей системы безопасности информации,
отражающие, насколько полно выполняются однотипные объективные функции
при решении задач обеспечения защиты информации занесены в таблицу .
Таблица 7
Анализ выполнения основных задач
по обеспечению информационной безопасности
Основные задачи по обеспечению
информационной безопасности
Степень выполнения
обеспечение безопасности
производственно-торговой деятельности,
защита информации и сведений,
являющихся коммерческой тайной;
Частично
организация работы по правовой,
организационной и инженерно-технической
(физической, аппаратной, программной и
математической) защите коммерческой
тайны;
Выполняется полностью
30
30
1.2.5. Оценка рисков.
Задача оценки рисков информационной безопасности сегодня
воспринимается экспертным сообществом неоднозначно, и тому есть несколько
причин. Во-первых, здесь не существует золотого стандарта или общепринятого
подхода.
Многочисленные стандарты и методики хоть и схожи в общих чертах, но
значительно различаются в деталях. Применение той или иной методики зависит от
области и объекта оценки. Но выбор подходящего способа может стать проблемой,
если участники процесса оценки имеют различное представление о нем и о его
организация специального
делопроизводства, исключающего
несанкционированное получение сведений,
являющихся коммерческой тайной;
Частично
предотвращение необоснованного
допуска и открытого доступа к сведениям и
работам, составляющим коммерческую
тайну;
Частично
выявление и локализация возможных
каналов утечки конфиденциальной
информации в процессе повседневной
производственной деятельности и в
экстремальных (авария, пожар и др.)
ситуациях;
Не выполняется
обеспечение режима безопасности при
осуществлении таких видов деятельности,
как различные встречи, переговоры,
совещания, заседания и другие
мероприятия,
Частично
обеспечение охраны территории, зданий
помещений, с защищаемой информацией.
Частично
31
31
результатах. Во-вторых, оценка рисков информационной безопасности – это сугубо
экспертная задача.
Анализ факторов риска (таких как ущерб, угроза, уязвимость и т.д.),
выполненный разными экспертами, часто дает различный результат.
Недостаточная воспроизводимость результатов оценки ставит вопрос о
достоверности и полезности полученных данных. Природа человека такова, что
абстрактные оценки, особенно касающиеся вероятностных единиц измерения,
воспринимаются людьми по-разному. Существующие прикладные теории,
призванные учесть меру субъективного восприятия человека (например, теория
проспектов), усложняют и без того непростую методологию анализа рисков и не
способствуют ее популяризации.
В-третьих, сама процедура оценки рисков в ее классическом понимании, с
декомпозицией и инвентаризацией активов – весьма трудоемкая задача. Попытка
выполнить анализ вручную с применением обычных офисных инструментов
(например, электронных таблиц) неизбежно тонет в море информации.
Специализированные программные средства, предназначенные для упрощения
отдельных этапов анализа рисков, в некоторой степени облегчают моделирование,
но совершенно не упрощают сбор и систематизацию данных. Наконец, до сих пор
не устоялось само определение риска в контексте проблемы информационной
безопасности.
Достаточно взглянуть на изменения в терминологии документа ISO Guide
73:2009 в сравнении с версией от 2002 года. Если раньше риск определялся как
потенциал нанесения ущерба вследствие эксплуатации уязвимости какой-либо
угрозой, то теперь это эффект отклонения от ожидаемых результатов. Аналогичные
концептуальные изменения произошли и в новой редакции стандарта ISO/IEC
27001:2013. По этим, а также по ряду других причин к оценке рисков
информационной безопасности относятся в лучшем случае с осторожностью, а в
худшем – с большим недоверием. Это дискредитирует саму идею риск-
менеджмента, что в результате приводит к саботажу этого процесса руководством,
и, как следствие, возникновению многочисленных инцидентов, которыми пестрят
ежегодные аналитические отчеты.
32
32
Учитывая сказанное, с какой стороны лучше подойти к задаче оценки
рисков информационной безопасности? Свежий взгляд Информационная
безопасность сегодня все больше ориентируется на бизнес-цели и встраивается в
бизнес-процессы. Аналогичные метаморфозы происходят и с оценкой рисков – она
приобретает необходимый бизнес-контекст. Каким критериям должна
соответствовать современная методика оценки рисков ИБ? Очевидно, что она
должна быть простой и достаточно универсальной, чтобы результаты ее
применения вызывали доверие и были полезны всем участникам процесса.
Выделим ряд принципов, на которых должна базироваться такая методика:
избегать излишней детализации; опираться на мнение бизнеса; использовать
примеры; рассматривать внешние источники информации. Суть предлагаемой
методики лучше всего продемонстрировать на практическом примере. Рассмотрим
задачу оценки рисков информационной безопасности компании. С чего все обычно
начинается? С определения границ оценки. Если оценка рисков осуществляется
впервые, в ее границы должны быть включены основные бизнес-процессы,
генерирующие выручку, а также обслуживающие их процессы. В случае если
бизнес-процессы не документированы, общее представление о них можно
получить, изучив организационную структуру и положения о подразделениях,
содержащие описание целей и задач. Определив границы оценки, перейдем к
идентификации активов. В соответствии с вышесказанным мы будем
рассматривать основные бизнес-процессы в качестве укрупненных активов,
отложив инвентаризацию информационных ресурсов на следующие этапы
(правило 1).
Это обусловлено тем, что методика предполагает постепенный переход от
общего к частному, и на данном уровне детализации эти данные просто не нужны.
Факторы риска
Будем считать, что с составом оцениваемых активов мы определились.
Далее необходимо идентифицировать угрозы и уязвимости, связанные с ними.
Однако такой подход применим только при выполнении детального анализа
рисков, где объектом оценки выступают объекты среды информационных активов.
В новой версии стандарта ISO/IEC 27001:2013 фокус оценки рисков сместился с
традиционных ИТ-активов на информацию и ее обработку. Поскольку на текущем
33
33
уровне детализации мы рассматриваем укрупненные бизнес-процессы компании,
достаточно идентифицировать только высокоуровневые факторы риска, присущие
им.
Фактор риска – это определенная характеристика объекта, технологии или
процесса, которая является источником возникновения проблем в будущем. При
этом мы можем говорить о наличии риска как такового только в том случае, если
проблемы негативно скажутся на показателях деятельности компании.
Выстраивается логическая цепочка: Таким образом, задача идентификации
факторов риска сводится к выявлению неудачных свойств и характеристик
процессов, которые определяют вероятные сценарии реализации риска,
оказывающие негативное влияние.
Таблица 8
Результаты оценки рисков информационным активам
организации
Группа угрозы Содержание
угроз
Актив
Ранг риска
Несанкцион. импорт/экспорт
программного обеспечения
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
5
2
угроза столкновения с
вредоносным программным
обеспечением данных
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
5
2
Перехват информации
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
5
2
Изменение смысла переданной
информации
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
5
34
34
Объекты предприятия
2
Ошибка при обслуживании
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
5
1
Аппаратные отказы
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
4
Ошибки оператора
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
3
Технические неисправности
сетевых компонентов
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
3
Сбои в функционировании
услуг связи данных дан
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
3
Колебания напряжения
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
3
Ухудшения состояния
запоминающей среды
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
Средний
Хищение
База данных
арендаторов
Низкий
35
35
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
Намеренное повреждение
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
Низкий
Нелегальное проникновение
злоумышленников под видом
санкционированных
пользователей
База данных
арендаторов
База данных
контрактов
Данные учета
СУБД
Объекты предприятия
Низкий
1.3. Характеристика комплекса задач, задачи и обоснование
необходимости совершенствования системы обеспечения информационной
безопасности и защиты информации на предприятии
1.3.1. Выбор комплекса задач обеспечения информационной безопасности.
Защите подлежит критичная информация, хранящаяся в базе данных и
передаваемая по каналам связи, а также информационные ресурсы в виде
резервных копий единой базы данных.
Помимо непосредственно информационных ресурсов, защите должно
подлежать программное обеспечение, с помощью которого производится
обработка ценной информации
СУБД (серверная часть);
операционная система и сервисное программное обеспечение.
Защита программного обеспечения должна обеспечиваться с помощью
ограничения прав доступа конечных пользователей и системных администраторов
[14].