12
1.2. Анализ рисков информационной безопасности
Оценка рисков информационной безопасности осуществляется
начальником отдела собственной безопасности в качественной форме с
периодичностью один раз в квартал.
1.2.1 Идентификация и оценка информационных активов
Обоснование выбора активов: из возможных видов активов выбраны
только информационные и физические активы. Это обусловлено тем, что в
организации не используется программного обеспечения, представляющего
особую ценность для злоумышленника. Все программное обеспечение имеется в
свободном распространении платно или бесплатно. Также компания не оказывает
каких-либо высокотехнологичных услуг, имеющих особую технологию,
представляющую интерес для злоумышленника.
Из физических активов выбран только сервер информации, так как он
является носителем коммерчески важной информации. Неработоспособность
сервера влечет простои в работе организации и несет убытки. При этом все
физические активы организации (автомобили, мебель, вычислительная техника)
застрахованы.
Оценке подлежать активы ГУМВД по Курганской области [2]. Перечень
активов приведен в таблице 1.2.
13
Таблица 1.2
Перечень активов ГУМВД по Курганской области
Деятельность
Актив
Форма
представления
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Колич. оценка
(руб.)
Качественная
Информационные активы
Оперативно-
розыскная
Оперативные
справки
Бумажные
документы +
информация на
сервере БД
Профильное
подразделение
Затраты на
восстановление
2000000
Следственная работа
Материалы дел
Бумажные
документы +
информация на
сервере БД
Профильное
подразделение
Затраты на
восстановление
1500000
Криминалистическая
Заключения
криминалистов
Бумажные
документы +
информация на
сервере БД
Профильное
подразделение
Затраты на
восстановление
1500000
Активы программного обеспечения
14
Ведение бухгалтерии
Информационная
система «1С:
Предприятие»
ПО
Бухгалтерия
Ущерб от
простоев в
работе +
стоимость
восстановления
системы
200000
Физические активы
Учет информации в
БД
Сервер БД с
информацией
Информационно-
технический
отдел
Стоимость
нового сервера
140000
15
Ограничение распространения приведенной выше информации
обусловлено рядом нормативных документов:
«Уголовно-процессуальный кодекс Российской Федерации» от 18.12.2001
N 174-ФЗ;
Федеральный закон от 12.08.1995 N 144-ФЗ (ред. от 29.06.2015) «Об
оперативно-розыскной деятельности»;
Приказ МВД России от 28 апреля 2014 г. N 381 «О некоторых вопросах
централизованного учета персональных данных сотрудников органов
внутренних дел Российской Федерации, граждан Российской Федерации,
поступающих на службу в органы внутренних дел Российской Федерации».
Перечень сведений конфиденциального характера приведены в таблице 1.3.
Таблица 1.3
Перечень сведений конфиденциального характера
№
Сведения
Гриф
Норм.док
1.
Оперативные справки
Секретно
Федеральный закон
от 12.08.1995 N 144-
ФЗ (ред. от
29.06.2015) «Об
оперативно-
розыскной
деятельности»
2.
Материалы дел
Секретно
Федеральный закон
от 12.08.1995 N 144-
ФЗ (ред. от
29.06.2015) «Об
оперативно-
розыскной
деятельности»
16
№
Сведения
Гриф
Норм.док
3.
Заключения
криминалистов
Секретно
Федеральный закон
от 12.08.1995 N 144-
ФЗ (ред. от
29.06.2015) «Об
оперативно-
розыскной
деятельности»
Ранжирование информации осуществляется пропорционально возможному
ущербу от утери или разглашения данной информации.
Максимальный ранг имеет оперативная информация, потеря информации
влечет за собой простой в работе следствия.
Нарушения работы сервера без потери информации влекут за собой
простои в работе организации.
Наименьший ранг активов имеет актив ИС 1С:Предприятие, так как сбои в
ее работе не влияют на выполнение основных задач организации.
Результат ранжирования активов ГУМВД по Курганской области по
степени ценности приведен в таблице 1.4.
Таблица 1.4
Результат ранжирования активов ГУМВД по Курганской области
Актив
Ценность актива
Оперативные справки (информационный
актив)
4
Материалы дел (информационный актив)
5
Заключения криминалистов
(информационный актив)
3
Сервер БД (физический актив)
3
17
Информационная система «1С:
Предприятие» (актив ПО)
5
18
1.2.2. Оценка уязвимостей активов
Оценку уязвимостей в ГУМВД по Курганской области осуществляет
начальник отдела собственной безопасности УМВД с периодичностью раз в
квартал.
В таблице 1.5 приведена оценка уязвимостей активов [4]. Оценка и
идентификация уязвимостей производилась в соответствие с ГОСТ Р ИСО/МЭК
ТО 13335-3-2007.
19
Таблица 1.5
Оценка уязвимостей активов
Уязвимости
Актив №1
Оперативные справки
Актив №2
Материалы дел
Актив №3
Заключения криминалистов
Актив №4
Информационная система
«1С: Предприятие
»
Актив №5
Сервер БД
1. Среда и инфраструктура
Отсутствие физической
защиты зданий, дверей и окон
низкая
средняя
низкая
низкая
Неправильное или халатное
использование физических
средств управления доступом
в здания, помещения
низкая
средняя
низкая
низкая
Нестабильная работа
электросети
низкая
20
2. Аппаратное обеспечение
Отсутствие схем
периодической замены
высокая
Подверженность колебаниям
напряжения
средняя
Подверженность
температурным колебаниям
средняя
Подверженность воздействию
влаги, пыли, загрязнения
низкая
Чувствительность к
воздействию
электромагнитного излучения
средняя
Недостаточное
обслуживание/неправильная
инсталляция запоминающих
сред
средняя
Отсутствие контроля за
эффективным изменением
конфигурации
средняя
высокая
21
3. Программное обеспечение
Отсутствие механизмов
идентификации и
аутентификации, например
аутентификации
пользователей
средняя
низкая
Отсутствие аудиторской
проверки
средняя
средняя
средняя
средняя
средняя
Незащищенные таблицы
паролей
высокая
высокая
Плохое управление паролями
средняя
средняя
Неправильное присвоение
прав доступа
высокая
высокая
Отсутствие резервных копий
высокая
средняя
высокая
4. Коммуникации
Незащищенные линии связи
средняя
средняя
Отсутствие идентификации и
аутентификации отправителя
и получателя
средняя
высокая