26
2.
ː
Xml-выгрузки
ː
из
ː
реляционной
ː
базы
ː
данных
ː
АИС
ː
СОНКО
ː
для
ː
отправки
ː
проектов
ː
и
ː
запросов
ː
грантодателям
3. Реквизиты
ː
доступа к
ː
ресурсам АИС
ː
СОНКО.
4. Ключи электронной
ː
подписи, используемы
ː
в АИС
ː
СОНКО.
5. Данные системных
ː
журналов и
ː
подсистемы логирования.
ː
6. Резервные
ː
копии
ː
базы
ː
данных.
ː
Перечень
ː
защищаемых
ː
данных
ː
и
ː
ресурсов
ː
АИС
ː
СОНКО,
ː
а
ː
также
ː
соответствующие
ː
им
ː
права
ː
доступа
ː
субъектов
ː
АИС
ː
СОНКО
ː
(матрица
ː
доступа)
ː
представлен
ː
ниже
ː
в
ː
таблице
ː
4.
Таблица 4
Перечень
ː
защищаемых
ː
данных
ː
и
ː
ресурсов
ː
АИС
ː
СОНКО,
ː
права
ː
субъектов
ː
доступа
ː
к
ː
АИС
ː
СОНКО
Информационные
ː
данные
Наименование
ː
ресурса
Администратор
ː
АИС
ː
СОНКО
Оператор
АИС
ː
СОНКО
Источник
Пользователь
1
ː
2
ː
3
ː
4
5
ː
6
ː
Информация
ː
таблиц
ː
реляционной
ː
базы
ː
данных
ː
Таблица
ː
project_history
ː
Проектный
ː
опыт
Чтение,
ː
изменение
Чтение
ː
Создание,
чтение
ː
Нет
ː
доступа
Таблица
drаft_project_history
ː
Черновые
ː
проекты
Чтение,
ː
изменение
Чтение
Создание,
чтение,
ː
изменение
Нет доступа
ː
Таблица
ː
report
Проектные
отчеты
ː
Создание,
ː
чтение,
ː
изменение
ː
Создание,
ː
чтение
ː
Нет
ː
доступа
ː
Чтение
ː
Таблица
ː
pаyment
ː
Платежи
ː
Чтение,
изменение
ː
Чтение
ː
Создание,
ː
чтение
ː
Нет доступа
ː
Таблица
ː
request
ː
Запросы
ː
на
ː
получение
ː
проектного
отчета
ː
Чтение,
ː
изменение
ː
Чтение
ː
Нет
ː
доступа
ː
Создание,
ː
чтение
ː
Продолжение
ː
таблицы 4
1
2
ː
3
4
ː
5
6
ː
Таблица
ː
drаft_request
Черновые
запросы
ː
на
получение
ː
проектного
отчета
ː
Чтение,
изменение
ː
Чтение
ː
Нет
ː
доступа
ː
Создание,
чтение,
ː
изменение
ː
Таблица
ː
users
ː
Данные
ː
пользователей
ː
АИС
ː
СОНКО
Создание, чтение,
ː
изменение
Чтение
ː
Нет доступа
ː
Нет
ː
доступа
Прочие защищаемые
ː
ресурсы
Реквизиты
доступа
ː
Реквизиты
ː
доступа к
ː
ресурсам
ː
АИС
ː
СОНКО
Создание,
чтение,
ː
изменение
Чтение
собственных
ː
реквизитов
Чтение
ː
собственных
ː
реквизитов
ː
Чтение
собственных
ː
реквизитов
Ключи
ː
Ключи
ː
Создание,
ː
Чтение
ː
Нет
ː
доступа
ː
Нет
ː
доступа
ː
27
электронной
ː
подписи
ː
электронной
ː
подписи,
ː
используемой
в
ː
АИС
ː
СОНКО
чтение,
ː
изменение
ː
Данные
ː
системных
ː
журналов
ː
и
ː
подсистемы
ː
логирования
ː
Данные
ː
системных
ː
журналов
ː
и
ː
подсистемы
ː
логирования
ː
Чтение
ː
Нет
ː
доступа
Нет доступа
ː
Нет
ː
доступа
xmlвыгрузки
ː
Проекты
ː
и
ː
запросы
ː
грантодателям
Создание,
ː
чтение
ː
Чтение
Нет доступа
ː
Нет
ː
доступа
ː
Резервные
ː
копии
ː
базы
ː
данных
ː
Резервные
ː
копии
ː
на
ː
жестком
ː
диске
ː
сервера
ː
АИС
ː
СОНКО,
ː
оптических
ː
носителях
информации
ː
Создание,
ː
чтение
ː
Чтение
ː
Нет
ː
доступа
ː
Нет
ː
доступа
Таким образом,
ː
в АИС
ː
СОНКО предусмотрено
ː
разграничение доступа
ː
субъектов и
ː
объектов доступа
ː
к конфиденциальной
ː
информации. Это
ː
позволяет
ограничить
ː
доступ к
ː
информационной базе
ː
АИС СОНКО
ː
и отследить
ː
возможные
факты
ː
НСД.
В
ː
состав
ː
эксплуатационной
ː
документации
ː
входят
ː
технологические
ː
инструкции
ː
персоналу,
ː
исполняющему
ː
указанные
ː
роли,
ː
техническая
ː
документация
ː
производителя
ː
технических
ː
средств,
ː
включая
ː
средства
ː
защиты
ː
информации,
ː
документы,
ː
регламентирующие
ː
предоставление
ː
услуг
ː
потребителям.
ː
В настоящий
ː
момент в
ː
организации доступ
ː
к АИС
ː
СОНКО осуществляется
ː
только посредством
ː
логина и
ː
пароля, чего
ː
не достаточно.
ː
Это может
ː
привести к
ː
тому,
что,
ː
используя соответствующие
ː
программы, можно
ː
подобрать логин
ː
и пароль.
ː
В
некоторых
ː
случаях, если
ː
пароль устанавливается
ː
непосредственно сотрудником,
ː
пароль можно
ː
подобрать исходя
ː
из общих
ː
знаний о
ː
человеке. Более
ː
надежным
вариантом
ː
аутентификации является
ː
электронный замок,
ː
который должен
ː
быть у
ː
каждого сотрудника
ː
АНО «КПЦ
ː
«Виват». Который
ː
имеет доступ
ː
к АИС
ː
СОНКО.
28
Также
ː
не
ː
производится
ː
шифрование
ː
информации
ː
в
ː
базе.
ː
Для
ː
более
ː
полной
ː
организации
ː
защиты
ː
необходимо
ː
шифровать
ː
данные
ː
ключом,
ː
известным
ː
только
ː
определенной
ː
категории
ː
сотрудников
ː
АНО
ː
«КПЦ
ː
«Виват».
ː
1.2.
ː
Анализ
ː
рисков
ː
информационной
ː
безопасности
1.2.1. Идентификация и
ː
оценка информационных
ː
активов
Оценка активов
ː
организации является
ː
важным этапом
ː
в общем
ː
процессе
анализа
ː
риска. Ценность,
ː
определенная для
ː
каждого актива,
ː
должна выражаться
ː
способом, наилучшим
ː
образом соответствующим
ː
данному активу
ː
и юридическому
ː
лицу, ведущему
ː
деловую деятельность.
ː
Чтобы выполнить
ː
оценку активов,
ː
организация сначала
ː
должна провести
ː
инвентаризацию своих
ː
активов. Для
ː
обеспечения полного
ː
учета активов
ː
часто полезно
ː
сгруппировать их
ː
по типам,
ː
например информационные
ː
активы, активы
ː
программного обеспечения,
ː
физические
активы
ː
и услуги.
ː
Целесообразно также
ː
назначить «владельцев»
ː
активов, которые
ː
будут нести
ː
ответственность за
ː
определение их
ː
ценности.
Следующий
ː
этап
ː
—
ː
согласование
ː
масштабов
ː
оценки,
ː
которая
ː
должна
ː
быть
ː
произведена,
ː
и
ː
критериев
ː
определения
ː
конкретной
ː
стоимости
ː
активов.
ː
Из-за
ː
разнообразия
ː
активов
ː
большинства
ː
организаций
ː
весьма
ː
вероятно,
ː
что
ː
некоторые
ː
активы
ː
из
ː
тех,
ː
что
ː
могут
ː
быть
ː
оценены
ː
в
ː
денежных
ː
единицах,
ː
будут
ː
оцениваться
ː
в
ː
местной
ː
валюте,
ː
в
ː
то
ː
время
ː
как
ː
другие
ː
активы
ː
могут
ː
оцениваться
ː
по
ː
качественной
ː
шкале
ː
в
ː
диапазоне
ː
от
ː
«очень
ː
низкой»
ː
до
ː
«очень
ː
высокой»
ː
цены.
ː
Решение
ː
использовать
ː
количественную
ː
или
ː
качественную
ː
оценку
ː
принимает
ː
конкретная
ː
организация,
ː
но
ː
при
ː
этом
ː
выбранный
ː
тип
ː
оценки
ː
должен
ː
соответствовать
ː
подлежащим
ː
оценке
ː
активам.
ː
Для
ː
одного
ː
и
ː
того
ː
же
ː
актива
ː
могут
ː
быть
ː
использованы
ː
также
ː
оба
ː
типа
ː
оценки.
Типичными
ː
терминами,
ː
используемыми
ː
для
ː
качественной
ː
оценки
ː
ценности
ː
активов,
ː
являются:
ː
«пренебрежимо
ː
малая»,
ː
«очень
ː
малая»,
ː
«малая»,
ː
«средняя»,
ː
«высокая»,
ː
«очень
ː
высокая»,
ː
«имеющая
ː
критическое
ː
значение».
ː
Выбор
ː
и
ː
диапазон
ː
терминов,
ː
являющихся
ː
подходящими
ː
для
ː
данной
ː
организации,
ː
в
ː
значительной
ː
29
степени
ː
зависят
ː
от
ː
потребностей
ː
организации
ː
в
ː
безопасности,
ː
величины
ː
этой
ː
организации,
ː
а
ː
также
ː
других,
ː
специфичных
ː
для
ː
данной
ː
организации
ː
факторов.
Критерии,
ː
используемые
ː
в
ː
качестве
ː
основы
ː
для
ː
оценки
ː
ценности
ː
каждого
ː
актива,
ː
должны
ː
выражаться
ː
в
ː
однозначных
ː
(недвусмысленных)
ː
терминах.
ː
С
ː
этим
ː
часто
ː
бывают
ː
связаны
ː
наиболее
ː
сложные
ː
аспекты
ː
оценки
ː
активов,
ː
поскольку
ː
ценность
ː
некоторых
ː
из
ː
них
ː
приходится
ː
определять
ː
субъективно.
ː
Поэтому
ː
для
ː
определения
ː
ценности
ː
активов
ː
целесообразно
ː
привлекать
ː
достаточно
ː
большое
ː
число
ː
разных
ː
людей.
ː
Возможны
ː
следующие
ː
критерии
ː
определения
ː
ценности
ː
активов:
ː
первоначальная
ː
стоимость
ː
актива,
ː
стоимость
ː
его
ː
обновления
ː
или
ː
воссоздания.
ː
Ценность
ː
актива
ː
может
ː
также
ː
носить
ː
нематериальный
ː
характер,
ː
например
ː
цена
ː
доброго
ː
имени
ː
или
ː
репутации
ː
компании.
Кроме того,
ː
организация может
ː
устанавливать собственные
ː
пределы ценности
ː
активов (например
ː
«малая», «средняя»
ː
и «высокая»).
ː
Эти пределы
ː
должны быть
ː
оценены по
ː
выбранным критериям,
ː
например, возможные
ː
финансовые потери
ː
следует оценивать
ː
в денежных
ː
единицах, тогда
ː
как при
ː
оценке по
ː
критерию угрозы
ː
для личной
ː
безопасности оценка
ː
в денежных
ː
единицах окажется
ː
непригодной. В
ː
конечном счете
ː
организация сама
ː
должна решить,
ː
какой ущерб
ː
считать малым,
ː
а
какой
ː
— большим.
ː
Ущерб, который
ː
может стать
ː
бедственным для
ː
маленькой
организации,
ː
для очень
ː
крупной организации
ː
может быть
ː
сочтен малым
ː
или даже
ː
пренебрежимо малым.
В
ː
таблице 5 представим
ː
наиболее используемые
ː
и важные
ː
активы.
Таблица 5
Оценка
ː
информационных активов
ː
предприятия
Вид
деятельности
Наимено-
вание
ː
актива
Форма
представления
Владелец
ː
актива
Критерии
определения
ː
стоимости
Качественная
размерность
оценки
1
2
3
4
5
6
Информационные
ː
активы
обработка
ː
документов
ː
Документы
Бумажный
ː
документ
ː
и
ː
электронный
ː
вид
ː
документа.
Отдел
ː
сбора
ː
и
ː
обработки
ː
статистической
ː
и
ː
бухгалтерской
ː
отчетности
Первоначальн
ая
ː
стоимость
ː
актива
ː
малая
ː
30
Продолжение таблицы 5
1
2
3
4
5
6
обработка
ː
документов
БД
ː
компании
Электронный
ː
носитель
ː
Отдел сбора
ː
и
обработки
ː
статистической и
ː
бухгалтерской
отчетности
Первоначальн
ая
ː
стоимость
ː
актива
ː
средняя
доступ
ː
к
инфор-
мационным
ː
ресурсам
ː
БД компании
ː
Электронный
ː
носитель
Отдел материально-
технического
ː
обеспечения и
ː
технического
обслуживания;
Сотрудники
ː
научно-
исследовательских
ː
центров.
Первоначальн
ая
ː
стоимость
ː
актива
ː
средняя
ː
обмен
ː
корреспон-
денцией
Файлы
электронной
ː
почты,
стандарты
ː
форм,
справочники,
ː
приказы
Электронный
носитель
ː
Все
ː
сотрудники
Первоначальн
ая стоимость
ː
актива
малая
Активы программного
ː
обеспечения
обработка
документов
ː
Офисные
ː
программы;
Электронный
ː
носитель
ː
Сотрудники
ː
Первоначальн
ая
ː
стоимость
актива
ː
малая
обеспечение
ː
непрерывной
работы
ː
Системное
ː
ПО;
Антивирусное
ː
ПО
Электронный
носитель
ː
Отдел
ː
материально-
технического
обеспечения
ː
и
технического
ː
обслуживания
Первоначальн
ая стоимость
ː
актива
средняя
ː
защита
ː
данных
Страж
ː
NT
Электронный
ː
носитель
Отдел
ː
материально-
технического
ː
обеспечения
ː
и
ː
технического
ː
обслуживания
Первоначальн
ая
ː
стоимость
ː
актива
высокая
управление
данными
ː
СУБД
ː
MS
ː
SQL
ː
Server
Электронный
носитель
ː
Отдел
ː
материально-
технического
ː
обеспечения
ː
и
ː
технического
ː
обслуживания
Первоначальн
ая стоимость
ː
актива
высокая
обработка
ː
документов
ПО
ː
«СПД»
Электронный
ː
носитель
Отдел
ː
сбора
ː
и
ː
обработки
ː
статистической
ː
и
ː
бухгалтерской
ː
отчетности
Первоначальн
ая
ː
стоимость
ː
актива
средняя
Разработка
ː
программ-
ного
ː
обеспечения
ː
по
ː
конкурсам
Разрабатыва-
емое ПО
Электронный
ː
носитель
Отдел
ː
разработки,
ː
внедрения
ː
и
ː
сопровождения
ː
программных
ː
средств
Первоначальн
ая стоимость
ː
актива
высокая
Физические
активы
доступ
ː
к
ː
информацион
ным
ː
ресурсам
ː
Аппаратные
средства
ː
(компьютеры,
принтеры,
ː
факсы)
Материаль-ный
объект
ː
Сотрудники
Первона-
чальная
ː
стоимость
актива
ː
очень
ː
высокая
ː
31
хранение
ː
данных
ː
Сервера
Материаль-ный
ː
объект
ː
Отдел материально-
технического
ː
обеспечения и
ː
технического
обслуживания
Первона-
чальная
ː
стоимость
ː
актива
ː
высокая
ː
32
Таблица
ː
6
Перечень
ː
сведений конфиденциального
ː
характера АНО
ː
«КПЦ
ː
«Виват»
№
п/п
Наименование
ː
сведений
Гриф
конфиденциальности
Нормативный
ː
документ,
реквизиты,
ː
№№
статей
1.
Сведения,
ː
раскрывающие
ː
характеристики
ː
средств
ː
защиты
ː
информации
ː
ЛВС
ː
предприятия
ː
от
ː
несанкционированного
ː
доступа.
ДСП
Федеральный
ː
закон
ː
№24-ФЗ1995г.
2.
Требования
ː
по
ː
обеспечению
ː
сохранения
ː
служебной
ː
тайны
ː
сотрудниками
ː
предприятия.
ДСП
Гражданский
ː
кодекс
ː
РФ
ː
ст.139
3.
Персональные
ː
данные
ː
сотрудников
Конфиденциально
Федеральный
ː
закон
ː
152-Ф3
Таблица
ː
7
Результаты
ː
ранжирования активов
Наименование
ː
актива
Ценность актива
ː
(ранг)
Обработка документов
ː
(ПО)
1
Обеспечение
ː
непрерывной
ː
работы
ː
(ПО)
2
Обмен
ː
корреспонденцией
2
Защита данных
ː
(ПО)
3
Управление
ː
данными
ː
(ПО)
3
Обработка
ː
документов
ː
(ПО)
3
Доступ
ː
к
ː
информационным
ː
ресурсам
3
Пользовательские
ː
компьютеры
4
Документы
4
Разработка
ː
программного
ː
обеспечения
ː
по
ː
конкурсам
5
Сервера
5
Доступ к
ː
информационным ресурсам
ː
(БД)
5
Активы,
ː
имеющие
ː
наибольшую
ː
ценность:
1.
ː
Сервера
2.
ː
Доступ
ː
к
ː
информационным
ː
ресурсам
ː
(БД)
3.
ː
Программное обеспечение
4.
ː
Документы
5. Компьютеры
ː
33
1.2.2.
ː
Оценка
ː
уязвимостей
ː
активов
Уязвимость –
ː
некая слабость,
ː
которую можно
ː
использовать для
ː
нарушения
системы
ː
или содержащейся
ː
в ней
ː
информации (определение
ː
сформулировано на
ː
сонове документа
ː
ФСТЭК «Базовая
ː
модель угроз
ː
безопасности персональных
ː
данных
при
ː
их обработке
ː
в информационных
ː
системах персональных
ː
данных»). Т.е.
ː
уязвимыми являются
ː
компоненты системы,
ː
наиболее подверженные
ː
к угрозам.
Согласно
ː
описанным выше
ː
функциям рассматриваемой
ː
ИС наиболее
ː
уязвимыми являются
ː
программно-аппаратные средства,
ː
осуществляющие сбор,
ː
передачу, обработку,
ː
хранение и
ː
другие операции
ː
с информацией,
ː
в том
ː
числе с
ː
конфиденциальными и
ː
персональными данными.
Производя
ː
атаку,
ː
нарушитель
ː
использует
ː
уязвимости
ː
информационной
ː
системы.
ː
Если
ː
нет
ː
уязвимости,
ː
то
ː
невозможна
ː
и
ː
атака,
ː
которая
ː
использует
ː
ее.
ː
Поэтому
ː
одним
ː
из
ː
важнейших
ː
механизмов
ː
защиты
ː
является
ː
процесс
ː
поиска
ː
и
ː
устранения
ː
уязвимостей
ː
информационной
ː
системы.
ː
Для
ː
создания
ː
базы
ː
данных
ː
уязвимостей
ː
необходимо
ː
рассмотреть
ː
различные
ː
варианты
ː
классификаций
ː
уязвимостей.
Классификация
ː
уязвимостей
ː
по
ː
степени
ː
риска:
• высокий
ː
уровень риска
ː
— уязвимость
ː
позволяет атакующему
ː
получить
доступ
ː
к узлу
ː
с правами
ː
администратора в
ː
обход средств
ː
защиты;
•
ː
средний
ː
уровень
ː
риска
ː
—
ː
уязвимость
ː
позволяет
ː
атакующему
ː
получить
ː
информацию,
ː
которая
ː
с
ː
высокой
ː
степенью
ː
вероятности
ː
позволит
ː
получить
ː
доступ
ː
к
ː
узлу;
•
ː
низкий уровень
ː
риска —
ː
уязвимости, позволяющие
ː
злоумышленнику
осуществлять
ː
сбор критической
ː
информации о
ː
системе.
Такая классификация
ː
используется для
ː
оценки степени
ː
критичности
уязвимостей
ː
при определении
ː
качества защищенности
ː
ИС. Этот
ː
вариант
классификации
ː
достаточно условный
ː
и разные
ː
источники предлагают
ː
свои варианты
ː
34
такой классификации.
ː
Соответственно, это
ː
очень субъективный
ː
метод классификации
ː
уязвимостей. Рассмотрим
ː
такую классификацию
ː
в таблице
ː
8.
Таблица
ː
8
Результаты
ː
оценки уязвимости
ː
активов
Группа уязвимостей
Содержание
ː
уязвимости
Сервера
БД
ПО
Документы
ПК
1
2
3
4
5
6
1.
ː
Среда
ː
и
ː
инфраструктура
Отсутствие
ː
физической
ː
защиты
ː
зданий,
ː
дверей
ː
и
ː
окон
низкая
низкая
низкая
низкая
низкая
Неправильное
ː
или
ː
халатное
ː
использование
ː
физических
ː
средств
ː
управления
ː
доступом
ː
в
ː
здания,
ː
помещения
средняя
низкая
низкая
средняя
высокая
Нестабильная
ː
работа электросети
средняя
средняя
средняя
средняя
средняя
Размещение
ː
в зонах
ː
возможного
затопления
низкая
низкая
низкая
низкая
низкая
2.
ː
Аппаратное
ː
обеспечение
Подверженность
ː
колебаниям напряжения
низкая
средняя
средняя
низкая
низкая
Подверженность
ː
температурным
колебаниям
средняя
низкая
низкая
низкая
низкая
Подверженность
ː
воздействию влаги,
ː
пыли,
загрязнения
средняя
низкая
низкая
низкая
низкая
Чувствительность
ː
к
ː
воздействию
ː
электромагнитного
ː
излучения
низкая
средняя
средняя
низкая
низкая
Недостаточное
ː
обслуживание/неправильная инсталляция
ː
запоминающих сред
низкая
средняя
средняя
низкая
низкая
Отсутствие
ː
контроля
ː
за
ː
эффективным
ː
изменением
ː
конфигурации
низкая
низкая
средняя
средняя
средняя
3. Программное
ː
обеспечение
Неясные или
ː
неполные технические
ː
требования к
ː
разработке средств
ː
программного обеспечения
низкая
низкая
средняя
высокое
низкая
Отсутствие
ː
тестирования
ː
или
ː
недостаточное
ː
тестирование
ː
программного
ː
обеспечения
низкая
средняя
средняя
средняя
средняя
Сложный
ː
пользовательский интерфейс
низкая
низкая
средняя
высокая
низкая
Отсутствие
ː
механизмов идентификации
ː
и
аутентификации,
ː
например
аутентификации
ː
пользователей
низкая
средняя
низкая
низкая
низкая
Отсутствие аудиторской
ː
проверки
низкая
низкая
низкая
низкая
средняя
Хорошо
ː
известные
ː
дефекты
ː
программного
ː
обеспечения
низкая
низкая
низкая
низкая
низкая
Незащищенные таблицы
ː
паролей
низкая
низкая
низкая
низкая
низкая
Плохое управление
ː
паролями
низкая
низкая
низкая
низкая
низкая
Неправильное присвоение
ː
прав доступа
низкая
низкая
низкая
низкая
низкая
Неконтролируемая
ː
загрузка и
ː
использование программного
ː
обеспечения
низкая
низкая
низкая
средняя
средняя
35
Отсутствие регистрации
ː
конца сеанса
ː
при
выходе
ː
с рабочей
ː
станции
низкая
низкая
низкая
низкая
низкая
Отсутствие эффективного
ː
контроля
внесения
ː
изменений
низкая
низкая
средняя
средняя
низкая
Отсутствие документации
низкая
средняя
средняя
средняя
низкая
Отсутствие
ː
резервных копий
низкая
низкая
средняя
средняя
низкая
Списание
ː
или
ː
повторное
ː
использование
ː
запоминающих
ː
сред
ː
без
ː
надлежащего
ː
стирания
ː
записей
низкая
низкая
низкая
низкая
низкая
4. Коммуникации
Незащищенные
ː
линии
ː
связи
низкая
низкая
низкая
средняя
низкая
Неудовлетворительная
ː
стыковка
ː
кабелей
низкая
низкая
низкая
низкая
низкая
Продолжение таблицы
ː
8
1
2
3
4
5
6
Отсутствие
ː
идентификации и
ː
аутентификации отправителя
ː
и получателя
низкая
низкая
низкая
низкая
низкая
Пересылка
ː
паролей открытым
ː
текстом
низкая
низкая
низкая
низкая
низкая
Отсутствие подтверждений
ː
посылки или
ː
получения сообщения
низкая
низкая
низкая
средняя
низкая
Коммутируемые
ː
линии
низкая
низкая
низкая
низкая
низкая
Незащищенные потоки
ː
конфиденциальной
информации
низкая
низкая
низкая
средняя
низкая
Неадекватное
ː
управление
ː
сетью
низкая
средняя
средняя
средняя
низкая
Незащищенные
ː
подключения
ː
к
ː
сетям
ː
общего
ː
пользования
низкая
низкая
низкая
низкая
низкая
5. Документы
ː
(документооборот)
Хранение
ː
в
ː
незащищенных
ː
местах
низкая
средняя
средняя
низкая
низкая
Недостаточная
ː
внимательность
ː
при
ː
уничтожении
низкая
средняя
высокая
средняя
низкая
Бесконтрольное
ː
копирование
низкая
высокая
высокая
низкая
низкая
6.Персонал
Отсутствие
ː
персонала
низкая
низкая
низкая
низкая
низкая
Отсутствие надзора
ː
за работой
ː
лиц,
приглашенных
ː
со стороны,
ː
или за
ː
работой
уборщиц
низкая
низкая
низкая
средняя
средняя
Недостаточная
ː
подготовка персонала
ː
по
вопросам
ː
обеспечения безопасности
низкая
низкая
средняя
средняя
низкая
Отсутствие
ː
необходимых
ː
знаний
ː
по
ː
вопросам
ː
безопасности
низкая
средняя
средняя
средняя
низкая
Неправильное
ː
использование
ː
программно-
аппаратного
ː
обеспечения
низкая
средняя
средняя
средняя
низкая
Отсутствие
ː
механизмов отслеживания
низкая
низкая
низкая
низкая
низкая
Отсутствие
ː
политики
ː
правильного
ː
пользования
ː
телекоммуникационными
ː
системами
ː
для
ː
обмена
ː
сообщениями
низкая
низкая
низкая
низкая
низкая
Несоответствующие
ː
процедуры набора
ː
кадров
низкая
низкая
низкая
средняя
низкая
7.
ː
Общие
ː
уязвимые
ː
места
Отказ
ː
системы
ː
вследствие
ː
отказа
ː
одного
ː
из
ː
элементов
средняя
средняя
средняя
низкая
средняя
Неадекватные
ː
результаты
ː
проведения
ː
технического
ː
обслуживания
средняя
низкая
низкая
низкая
средняя