1.2. Анализ рисков информационной безопасности
В соответствии с со стандартом
9
, риск информационной безопасности — это
возможность реализации угрозы информационной безопасности в связи с
уязвимостью актива или группы активов и нанесения таким образом ущерба
организации.
Положение указанного государственного стандарта требует от Публичного
акционерного общества «Промсвязьбанк» непрерывного менеджмента рисков, а
также плановой идентификации рисков информационной безопасности, их оценки и
устранения.
Менеджмент риска информационной безопасности должен способствовать:
− идентификации рисков;
− оценке рисков, возможности их реализации и вероятности возникновения;
− установлению приоритетов при обработке рисков;
− организации системы мероприятий по снижению рисков;
− привлечению компетентных сотрудников банка к принятию решений о
менеджменте риска и поддержанию их информированности о состоянии
менеджмента риска;
− проведению эффективного регулярного мониторинга;
− сбору информации для совершенствования менеджмента риска;
− повышение квалификации сотрудников банка по вопросам их деятельности
направленной на уменьшение рисков.
В соответствии с внутренним регламентом Публичного акционерного общества
«Промсвязьбанк» проведение анализа рисков информационной безопасности
является плановой задачей и утверждается начальником службы безопасности банка
в Плане проведения мероприятий по обеспечению информационной безопасности и
защиты информации. Анализ рисков проводится службой безопасности банка и
подчиненными ей подразделениями.
Результат анализа рисков информационной безопасности и мер по их
устранению представляется в детальном виде в форме качественного показателя, и
утверждается начальником службы безопасности банка в качестве методических
рекомендаций.
27
Процесс оценки риска информационной безопасности Публичного
акционерного общества «Промсвязьбанк» состоит из идентификации и оценки
информационных активов, оценки уязвимостей активов, оценки угроз активам,
оценки существующих и планируемых средств защиты, оценки рисков
информационной безопасности.
Рис.3 Процесс менеджмента рисков информационной безопасности
Как показано на рисунке 3, в процессе оценки рисков информационной
безопасности процедуры выполняются линейно и последовательно. Указанный
подход к проведению оценки риска оптимизирует усилия на выбор мер и средств
контроля и управления, и обеспечивает достоверную оценку рисков.
28
Сначала устанавливается контекст, а затем проводится оценка риска и методов
его устранения или минимизации. Если удается получить достаточную
информацию для эффективного определения действий, требуемых для снижения
риска до приемлемого уровня, задача считается выполненной. Если нет, то
проводится очередная оценка уязвимости актива, риск которого выше приемлемого,
в условиях пересмотренного контекста, за которой последует очередная процедура
обработки риска.
29
1.2.1. Идентификация и оценка информационных активов
Информационный актив является компонентом общей системы, в которую
организация напрямую вкладывает средства, и который, соответственно, требует
защиты со стороны организации.
На первом этапе оценки рисков информационной безопасности в Публичном
акционерном обществе «Промсвязьбанк» определяется перечень активов и их
ценность. Определение основных активов осуществляется сотрудниками,
непосредственно осуществляющими их использование, управление и защиту
(руководители, специалисты в сфере информационных систем и служба
безопасности банка) в составе совместной рабочей группы.
В целях предотвращения раскрытия конфиденциальной информации, рамки
изучения будут ограничены наиболее значимыми и общедоступными элементами.
Деятельность дополнительного офиса «Проспект мира» Публичного
акционерного общества «Промсвязьбанк» построена на принципах
конфиденциальности и целостности информации, циркулирующей во внутренних
системах банка. Конфиденциальность подразумевает под собой закрытость и
недоступность определенной информации для лиц, не имеющих права на
ознакомление с ней, а также достаточность мер по защите информации от
несанкционированного доступа. Целостность – сохранение правильности и полноты
информации в критически важных базах данных.
В организации установлено три вида активов:
1. Информационные активы, хранящиеся в документальном, электронном виде,
а также хранящиеся в виде баз данных (при рассмотрении непосредственно
хранящийся информации, отделенной от программной составляющей);
2. Активы программного обеспечения - программная среда компании,
включающая в себя операционную систему, антивирус, специальные программы и
базы данных (при рассмотрении непосредственно программной составляющей);
3. Физические активы – представляют собой материальную часть компании,
компьютеры, аппаратные комплексы, сетевое и серверное оборудование, средства
телекоммуникаций и передачи данных и т.д.
Исходя из перечня основных видов деятельности, связанных с созданием,
хранением и обработкой информации, представленной в таблице 1 можно выделить
30
основные информационные активы дополнительного офиса «Проспект мира»
Публичного акционерного общества «Промсвязьбанк»:
− информация о компаниях занимающихся госзакупками и специальным
счетам, хранящаяся на материальных носителях информации, а также в базе данных;
− база данных компаний занимающихся госзакупками (рассматривается как
SQL-программа);
− программа создания запроса на внесение и изменение информации в базе
данных компаний занимающихся госзакупками;
− информация о важных клиентах, хранящаяся на материальных носителях
информации, а также в базе данных важных клиентов, представителей
государственных компаний, крупных инвесторов и предпринимателей;
− база данных важных клиентов (рассматривается как SQL-программа);
− программа создания запроса на внесение и изменение информации в базе
данных важных клиентов;
− информация в базе данных юридических лиц о состоянии лицевых счетов и
предоставляемых услугах, а также информация, составляющая корпоративную
тайну компаний и организаций;
− база данных юридических лиц (рассматривается как SQL-программа);
− информация о юридическом лице, документация компаний и организаций
вносимая в базу данных юридических лиц, при создании типового запроса на
предоставление услуг, проведение операций по счетам, изменение основной
информации;
− информация в базе данных физических лиц о состоянии лицевых счетов
клиентов и предоставляемых им услуг;
− база данных физических лиц (рассматривается как SQL-программа);
− бумажные накопители информации (документы, сшитые дела, накопители).
− копии документов юридических лиц, компаний и организаций в бумажном
виде, а также договоров на оказание им услуг;
− копии документов и договоров на оказание услуг физических лиц в бумажном
виде;
31
− информация, вносимая в базу данных физических лиц, при создании типового
запроса на предоставление услуг, проведение операций по счетам, изменение
основной информации;
− программа создания запроса на внесение и изменение информации в базе
данных физических лиц;
− программа создания запроса на внесение и изменение информации в базе
данных юридических лиц;
− информация, записываемая в рабочих тетрадях и блокнотах;
− информация, циркулирующая между сотрудниками и клиентами банка в
сетях телефонной связи, сетях передачи данных, а также в акустической форме;
− маркетинговая информация, план привлечения новых клиентов,
маркетинговая база;
− программное обеспечение, установленное на серверном оборудовании,
компьютерах пользователей сети, периферийных устройствах;
− программы настройки маршрутизации сети и передачи данных, IP-
телефонии, доступа в Интернет;
− специальное программное обеспечение по защите информации (антивирусы,
брандмауэры и т.д.)
− серверное оборудование, коммутационные устройства, терминальное
оборудование;
− оконечные устройства обработки информации пользователей локальной
вычислительной сети (основано на технологии тонкий клиент);
− периферийное оборудование (принтеры, плоттеры, сканеры) ;
− оконечные абонентские устройства IP-телефонии;
− технические информационные накопители (флеш-накопители, жесткие
диски, CD/DVD-диски);
− прикладные программы (Word, Excel, PowerPoint и т.д.)
− линия передачи данных (оптическое волокно);
− линия телефонной связи;
− линия электропроводки.
Процессы и информация, которые не были определены как чувствительные
относительно деятельности банка, не будут иметь определенной классификации в
32
оставшейся части исследования. Это означает что, если такие процессы или
информация будут скомпрометированы, организация по-прежнему будет успешно
осуществлять свое назначение. Тем не менее они часто наследуют меры и средства
контроля и управления, реализуемые для защиты процессов и информации,
определенных как чувствительные.
Подробная информация об информационных активах, используемых в
дополнительном офисе «Проспект мира» Публичного акционерного общества
«Промсвязьбанк» указана в таблице 3
Перечень информационных активов, к которым ограничен доступ на основании
действующего законодательства Российской Федерации обозначен в таблице 3.
Перечень информационных активов, к которым ограничен доступ на основании
действующего законодательства РФ
2,3,4
указан в таблице 4.
33
Таблица 3
Таблица активов дополнительного офиса «Проспект мира»
Публичного акционерного общества «Промсвязьбанк»
Вид
деятельности
Наименование актива
Форма представления
Владелец актива
Критерии определения стоимости
Качественная
оценка
Информационные активы
Поддержка
расчетного
процесса
госзакупок
Информация о компаниях
занимающихся госзакупками и
специальным счетам,
хранящаяся на материальных
носителях информации, а также
в базе данных
Информация представлена
на бумажных носителях и в
форме электронной базы
данных. Возможно хранение
данных в рабочих блокнотах.
Российская Федерация
ПАО «Промсвязьбанк»
Компания - участник
госзакупок
Утечка информации может
привести к нарушению
законодательства Российской
Федерации и попасть в руки
злоумышленников или спецслужб
иностранных государств.
«имеющая
критическое
значение»
Работа с
важными
клиентами
Информация о важных
клиентах, хранящаяся на
материальных носителях
информации, а также в базе
данных важных клиентов,
представителей
государственных компаний,
крупных инвесторов и
предпринимателей.
Информация представлена
на бумажных носителях и в
форме электронной базы
данных. Возможно хранение
данных в рабочих блокнотах.
Клиент банка,
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации. Хранящаяся
информация носит сугубо
конфиденциальный характер. Ее
утечка может повлечь крупные
финансовые потери со стороны
клиента и банка, а также резкое
снижение рейтинга и уровня доверия
к банку.
«имеющая
критическое
значение»
Работа с
юридическими
лицами
Информация в базе данных
юридических лиц о состоянии
лицевых счетов и
предоставляемых услугах, а
также информация,
составляющая корпоративную
тайну компаний и организаций.
Информация представлена
на бумажных носителях и в
форме электронной базы
данных. Возможно хранение
данных в рабочих блокнотах.
Клиент банка,
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации. Хранящаяся
информация носит сугубо
конфиденциальный характер. Ее
утечка может повлечь крупные
финансовые потери со стороны
клиента и банка, а также резкое
снижение рейтинга и уровня доверия
к банку.
«очень высокая»
Работа с
юридическими
лицами
Информация о юридическом
лице, документация компаний и
организаций вносимая в базу
данных юридических лиц, при
Информация представлена
на бумажных носителях и в
форме электронной базы
данных. Возможно хранение
данных в
Клиент банка,
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации.
«очень высокая»
34
Продолжение таблицы 3
Вид
деятельности
Наименование актива
Форма представления
Владелец актива
Критерии определения стоимости
Качественная
оценка
создании типового запроса на
предоставление услуг,
проведение операций по счетам,
изменение основной
информации
рабочих блокнотах.
Работа с
физическими
лицами
Информация в базе данных
физических лиц о состоянии
лицевых счетов клиентов и
предоставляемых им услуг;
Информация представлена в
форме электронной базы
данных.
Клиент банка,
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации.
«очень высокая»
Работа с
клиентами
Бумажные накопители
информации (документы,
сшитые дела, накопители).
Информация представлена
на бумажных носителях.
Возможно хранение данных в
рабочих блокнотах.
Клиент банка,
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации. Хранящаяся
информация носит сугубо
конфиденциальный характер. Ее
утечка может повлечь крупные
финансовые потери со стороны
клиента и банка, а также резкое
снижение рейтинга и уровня доверия
к банку.
«высокая»
Работа с
юридическими
лицами
Копии документов
юридических лиц, компаний и
организаций в бумажном виде, а
также договоров на оказание им
услуг;
Информация представлена
на бумажных носителях.
Возможно хранение данных в
рабочих блокнотах.
Клиент банка,
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации. Хранящаяся
информация носит
конфиденциальный характер. Ее
утечка приведет к финансовым
потерям со стороны клиента и банка.
«высокая»
Работа с
физическими
лицами
Копии документов и
договоров на оказание услуг
физических лиц в бумажном
виде;
Информация представлена
на бумажных носителях.
Возможно хранение данных в
рабочих блокнотах.
Клиент банка,
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации.
«высокая»
Работа с
физическими
лицами
Информация, вносимая в базу
данных физических лиц, при
создании типового запроса на
предоставление услуг,
проведение операций по счетам,
изменение основной
информации;
Информация представлена
на бумажных носителях и в
форме электронной базы
данных. Возможно хранение
данных в рабочих блокнотах.
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации.
«средняя»
35
Продолжение таблицы 3
Вид
деятельности
Наименование актива
Форма представления
Владелец актива
Критерии определения стоимости
Качественная
оценка
Повсеместная
деятельность
Информация, записываемая в
рабочих тетрадях и блокнотах;
Информация представлена
на бумажных носителях
ПАО «Промсвязьбанк»
Хранящаяся информация носит
конфиденциальный характер. Ее
утечка приведет к финансовым
потерям со стороны клиента и банка.
«средняя»
Повсеместная
деятельность
Информация, циркулирующая
между сотрудниками и
клиентами банка в сетях
телефонной связи, сетях
передачи данных, а также в
акустической форме;
Информация представляется
в электронной, бумажной,
акустической и
электроакустической форме.
Клиент банка,
ПАО «Промсвязьбанк»
Хранящаяся информация носит
конфиденциальный характер. Ее
утечка приведет к финансовым
потерям со стороны клиента и банка.
«средняя»
Повсеместная
деятельность
Маркетинговая информация,
план привлечения новых
клиентов, маркетинговая база;
Информация представлена
на бумажных носителях и в
форме электронной базы
данных. Возможно хранение
данных в рабочих блокнотах.
ПАО «Промсвязьбанк»
Утечка информации приведет к
финансовым потерям со стороны
банка.
«малая»
Активы программного обеспечения
Поддержка
расчетного
процесса
госзакупок
База данных компаний
занимающихся госзакупками
(рассматривается как SQL-
программа)
Информация представлена
в форме электронной базы
данных.
Российская Федерация
ПАО «Промсвязьбанк»
Утечка информации может
привести к нарушению
законодательства Российской
Федерации и попасть в руки
злоумышленников или спецслужб
иностранных государств.
«имеющая
критическое
значение»
Поддержка
расчетного
процесса
госзакупок
Программа создания запроса
на внесение и изменение
информации в базе данных
компаний занимающихся
госзакупками;
Информация представлена
в форме электронного
запроса.
ПАО «Промсвязьбанк»
Требование законодательства
Российской Федерации
2
. Хранящаяся
информация носит сугубо
конфиденциальный характер.
«очень высокая»
Работа с
важными
клиентами
База данных важных клиентов
(рассматривается как SQL-
программа);
Информация представлена
в форме электронной базы
данных.
ПАО «Промсвязьбанк»
Требование законодательства РФ
2
.
Хранящаяся информация носит
конфиденциальный характер.
«имеющая
критическое
значение»
Работа с
важными
клиентами
Программа создания запроса
на внесение и изменение
информации в базе данных
Информация представлена
в форме электронного
запроса.
ПАО «Промсвязьбанк»
Требование законодательства РФ
2
.
Хранящаяся информация носит
конфиденциальный характер.
«очень высокая»