46
Продолжение таблицы 6
Содержание
уязвимости
База данных с
информацией
о компаниях
занимающихся
госзакупками,
их
документация
и данные
специальных
счетов
Документация
в отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационны
е устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети (основано
на технологии
тонкий клиент)
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующа
я между
сотрудниками
и клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а
также в
акустической
форме.
Незащищенные линии
связи
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Неудовлетворительная
стыковка кабелей
низкая
низкая
низкая
низкая
высокая
средняя
низкая
высокая
Отсутствие
идентификации и
аутентификации
высокая
низкая
высокая
низкая
высокая
высокая
низкая
низкая
Пересылка паролей
открытым текстом
высокая
низкая
высокая
низкая
высокая
высокая
низкая
низкая
Коммутируемые линии
высокая
низкая
высокая
низкая
высокая
средняя
низкая
высокая
Незащищенные потоки
конфиденциальной
информации
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Неадекватное
управление сетью
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Незащищенное
подключение к сетям
общего пользования
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
5. Документы (документооборот)
Хранение в
незащищенных местах
низкая
высокая
низкая
низкая
высокая
высокая
высокая
низкая
Неправильное
уничтожение
документов
низкая
высокая
низкая
низкая
низкая
низкая
высокая
низкая
Бесконтрольное
копирование
высокая
высокая
высокая
высокая
низкая
низкая
высокая
низкая
47
Продолжение таблицы 6
Содержание
уязвимости
База данных с
информацией
о компаниях
занимающихся
госзакупками,
их
документация
и данные
специальных
счетов
Документация
в отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационны
е устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети (основано
на технологии
тонкий клиент)
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующа
я между
сотрудниками
и клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а
также в
акустической
форме.
6.Персонал
Штатная
неукомплектованность
подразделения
низкая
низкая
низкая
низкая
высокая
низкая
низкая
низкая
Отсутствие надзора за
работой лиц,
приглашенных со
стороны
высокая
высокая
высокая
высокая
высокая
средняя
высокая
низкая
Недостаточная
подготовленность
персонала по вопросам
обеспечения
информационной
безопасности
высокая
высокая
высокая
высокая
высокая
высокая
средняя
высокая
Неправильное
использование
программно-
аппаратного
обеспечения
высокая
низкая
высокая
высокая
высокая
высокая
низкая
низкая
Отсутствие механизмов
отслеживания работы с
программным
обеспечением
высокая
низкая
высокая
высокая
высокая
высокая
низкая
низкая
Отсутствие политики
пользования
телекоммуникационным
и системами
высокая
средняя
высокая
высокая
высокая
высокая
низкая
высокая
48
Продолжение таблицы 6
Содержание
уязвимости
База данных с
информацией
о компаниях
занимающихся
госзакупками,
их
документация
и данные
специальных
счетов
Документация
в отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационны
е устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети (основано
на технологии
тонкий клиент)
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующа
я между
сотрудниками
и клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а
также в
акустической
форме.
Несоответствующие
процедуры набора
кадров
высокая
средняя
высокая
высокая
высокая
средняя
низкая
низкая
7. Общие уязвимые места
Отказ системы
вследствие отказа одного
из элементов.
средняя
низкая
средняя
средняя
высокая
средняя
низкая
низкая
Низкоквалифицированно
е техническое
обслуживание
высокая
низкая
высокая
высокая
высокая
средняя
низкая
низкая
49
1.2.3. Оценка угроз активам.
В соответствии с ГОСТ Р ИСО/МЭК ТО 13335-3-2007
8,9
в дополнительном офисе
«Проспект мира» Публичного акционерного общества «Промсвязьбанк» проводится
идентификация и оценка угроз которые потенциально могут использовать
уязвимости информационных активов Публичного акционерного общества
«Промсвязьбанк» для нанесения им ущерба. В основе угроз может лежать как
природный, так и человеческий фактор, они могут реализовываться случайно или
преднамеренно.
Оценка угроз активам проводится ежегодно в соответствии с планом
мероприятий по защите информации и обеспечения безопасности информации, а
также по команде начальника собственной безопасности банка при возникновении
непредвиденных обстоятельств различного характера. Результат оценки
уязвимостей активов утверждается в качестве составляющей «Методических
рекомендаций по защите информации в Публичном акционерном обществе
«Промсвязьбанк».
Исходные данные для оценки угроз следует получать от владельцев или
пользователей активов, сотрудников кадров, специалистов программно-
техническому обеспечению, а также от службы безопасности банка. В процессе
оценки угроз учитывается частота их появления, ценность активов для внутренних
и внешних нарушителей, климатические, погодные, географические условия
местности на которой расположен дополнительный офис «Проспект мира»
Публичного акционерного общества «Промсвязьбанк».
По итогам оценки уязвимостей составляется перечень уязвимостей и проводится
оценка степени вероятности их возможной реализации.
Перечень идентифицированных угроз активов с оценкой вероятности их
реализации указан в таблице 7.
50
Таблица 7
Перечень идентифицированных угроз активов
и оценка вероятности их реализации
Содержание угроз
База данных с
информацией о
компаниях
занимающихся
госзакупками,
их
документация и
данные
специальных
счетов
Документация в
отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационные
устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующая
между
сотрудниками и
клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а также
в акустической
форме.
Угрозы, обусловленные преднамеренными действиями
Затопление
низкая
низкая
низкая
низкая
низкая
низкая
низкая
низкая
Забастовка
низкая
низкая
низкая
низкая
низкая
низкая
Применение оружия
средняя
средняя
средняя
средняя
средняя
средняя
средняя
низкая
Пожар
низкая
средняя
низкая
средняя
средняя
средняя
средняя
низкая
Намеренное
повреждение
высокая
высокая
высокая
высокая
высокая
высокая
высокая
высокая
Неисправность в
системе
кондиционирования
воздуха
высокая
низкая
высокая
низкая
высокая
высокая
низкая
низкая
Колебания напряжения
средняя
низкая
средняя
низкая
высокая
высокая
низкая
низкая
Экстремальные
величины температуры
и влажности
низкая
низкая
низкая
низкая
средняя
высокая
низкая
низкая
Электромагнитное
излучение
низкая
низкая
низкая
низкая
высокая
высокая
низкая
средняя
Кража
высокая
высокая
высокая
высокая
высокая
высокая
высокая
высокая
51
Продолжение таблицы 7
Содержание угроз
База данных с
информацией о
компаниях
занимающихся
госзакупками,
их
документация и
данные
специальных
счетов
Документация в
отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационные
устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующая
между
сотрудниками и
клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а также
в акустической
форме.
Несанкционированное
использование
носителей данных
высокая
высокая
высокая
высокая
высокая
высокая
высокая
низкая
Ошибка
обслуживающего
персонала
высокая
низкая
высокая
низкая
высокая
высокая
высокая
высокая
Ошибка при
обслуживании
высокая
низкая
высокая
низкая
высокая
высокая
высокая
высокая
Программные сбои
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Использование
программного
обеспечения
несанкционированными
пользователями
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Использование
программного
обеспечения
несанкционированными
способом
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Нелегальное
проникновение
злоумышленников под
видом
санкционированных
пользователей
высокая
высокая
высокая
высокая
высокая
высокая
высокая
высокая
52
Продолжение таблицы 7
Содержание угроз
База данных с
информацией о
компаниях
занимающихся
госзакупками,
их
документация и
данные
специальных
счетов
Документация в
отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационные
устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующая
между
сотрудниками и
клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а также
в акустической
форме.
Незаконное
использование
программного
обеспечения
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Незаконный
импорт/экспорт
программного
обеспечения
средняя
низкая
средняя
низкая
высокая
высокая
низкая
высокая
Доступ
несанкционированных
пользователей к сети
высокая
высокая
высокая
высокая
высокая
высокая
высокая
высокая
Использование сетевых
средств
несанкционированным
способом
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Ошибка операторов
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Повреждение линий
средняя
низкая
средняя
низкая
высокая
высокая
низкая
высокая
Перегруженный трафик
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Перехват информации
высокая
высокая
высокая
высокая
высокая
высокая
высокая
высокая
Несанкционированное
проникновение к
средствам связи
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Анализ трафика
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
53
Продолжение таблицы 7
Содержание угроз
База данных с
информацией о
компаниях
занимающихся
госзакупками,
их
документация и
данные
специальных
счетов
Документация в
отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационные
устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующая
между
сотрудниками и
клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а также
в акустической
форме.
Изменение маршрута
направления
сообщений
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Изменение смысла
переданной
информации
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Сбой в
функционировании
услуг связи
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Угрозы, обусловленные случайными действиями
Неисправность в
системе
электроснабжения
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Неисправность в
системе водоснабжения
низкая
низкая
низкая
низкая
низкая
низкая
низкая
низкая
Неисправность в
системе
кондиционирования
воздуха
высокая
низкая
высокая
низкая
высокая
высокая
низкая
низкая
Аппаратные отказы
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Колебания напряжения
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Ошибка
обслуживающего
персонала
высокая
высокая
высокая
высокая
высокая
высокая
высокая
высокая
54
Продолжение таблицы 7
Содержание угроз
База данных с
информацией о
компаниях
занимающихся
госзакупками,
их
документация и
данные
специальных
счетов
Документация в
отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационные
устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующая
между
сотрудниками и
клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а также
в акустической
форме.
Ошибка при
обслуживании
высокая
высокая
высокая
высокая
высокая
высокая
высокая
высокая
Программные сбои
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Использование
программного
обеспечения
несанкционированными
пользователями
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Использование
программного
обеспечения
несанкционированными
способом
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Незаконное
использование
программного
обеспечения
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Вредоносное
программное
обеспечение
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Ошибка операторов
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Технические
неисправности сетевых
абонентов
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Ошибки передачи
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
55
Продолжение таблицы 7
Содержание угроз
База данных с
информацией о
компаниях
занимающихся
госзакупками,
их
документация и
данные
специальных
счетов
Документация в
отношении
компаний
занимающихся
госзакупками
на бумажных
носителях
информации
Базы данных
физических,
юридических лиц
и важных
клиентов их
документация и
данные счетов и
услуг
(рассматривается
с точки зрения
информации и
технической
составляющей)
Документация
в отношении
физических,
юридических
лиц и важных
клиентов на
бумажных
носителях
информации
Серверное
оборудование,
коммутационные
устройства,
терминальное
оборудование
Оконечные
устройства
обработки
информации
пользователей
локальной
вычислительной
сети
Информация,
записываемая
в рабочих
тетрадях и
блокнотах
Информация,
циркулирующая
между
сотрудниками и
клиентами
банка в сетях
телефонной
связи, сетях
передачи
данных, а также
в акустической
форме.
Повреждение линий
средняя
низкая
средняя
низкая
высокая
высокая
низкая
высокая
Перегруженный трафик
средняя
низкая
средняя
низкая
средняя
средняя
низкая
средняя
Направление
сообщений по
ошибочному адресу
низкая
низкая
низкая
низкая
средняя
средняя
низкая
средняя
Сбой в
функционировании
услуг связи
высокая
низкая
высокая
низкая
высокая
высокая
низкая
высокая
Недостаточная
численность персонала
низкая
низкая
низкая
низкая
низкая
низкая
низкая
низкая
Ошибка пользователей
низкая
низкая
низкая
низкая
высокая
высокая
низкая
высокая
Ненадлежащее
использование ресурсов
низкая
низкая
низкая
низкая
высокая
высокая
низкая
высокая
Угрозы, обусловленные естественными причинами (природные, техногенные факторы)
Землетрясение
низкая
низкая
низкая
низкая
низкая
низкая
низкая
низкая
Затопление
низкая
низкая
низкая
низкая
низкая
низкая
низкая
низкая
Попадание молнии
средняя
низкая
средняя
низкая
средняя
средняя
средняя
средняя
Экстремальные
величины температуры
и влажности
низкая
низкая
низкая
низкая
высокая
высокая
низкая
низкая
Ураган
средняя
низкая
средняя
средняя
средняя
средняя
средняя
низкая