17
разработка инструкций по работе с программами, оформление
необходимой технической документации.
1.2. Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
Одним из этапов анализа рисков является идентификация всех объектов,
которые нуждаются в защите злоумышленников. Необходимо принимать во
внимание все факторы, что может быть нарушено при нарушении режимов
безопасности.
Одним из основных активов в организации являются услуги подбора
персонала, которые предоставляет компания и от реализации которых получает
прибыль.
Другой половиной вложения денежных средств является создание и
обеспечение безопасности документооборота на предприятии. Владение ценной
информацией и ее умелое, практическое применение во многом обуславливает
успешность современного человека, что относится и к деятельности на рынке
продаж. На современном предприятии в обороте находится огромное количество
информации, затрагивающей всю организационную структуру, начиная от
директора и заканчивая продавцами, и тщательно взаимодействующую между
собой. Взаимодействие происходит путем объединения всей организационной
структуры в локальную вычислительную сеть.
Коммерческой тайной называют такой режим конфиденциальности
информации, который позволяет её обладателям при наличествующих или
возможных обстоятельствах увеличивать доход, избегать неоправданных
расходов, сохранять присутствие на рынках товаров, работ, услуг или извлекать
иные коммерческие преференции.
Организация правильного конфиденциального делопроизводства в
организациях составляет основную часть комплексного обеспечения
безопасности данных и приобрело большую значимость при достижении целей
их защиты. Как известно специалистам, в области информационной
18
безопасности, что около порядка 80 % конфиденциальных данных находится в
документах, которые относятся к делопроизводству. Поэтому вопрос
конфиденциального документооборота в организациях, очевидно, играет одну из
главных ролей при достижении ими коммерческих успехов.
Попадание конфиденциальной информации в руки злоумышленников и
конкурентов может приводить к различным негативным последствиям для
фирмы, таким, как ущерб материальным активам, деятельности и престижу
фирмы, потери стратегически важных заказчиков. Информация об оценке
активов ООО «Верона» представлена в таблице 2.
19
Таблица 1
Оценка информационных активов предприятия
Вид деятельности
Наименование актива
Форма
представления
Владелец
актива
Критерии
определения
стоимости
Размерность оценки
Количественна
я оценка
(ед.изм.)
Качествен
-ная
Сведения делового характера
Внутренний
регламент
деятельности
детальные планы капитальных
вложений в развитие
предприятия
в электронном
виде
директор
стоимость его
воссоздания
220 тыс.рублей
очень
высокая
планы и методы продвижения
услуг на рынок
в электронном
виде
директор
репутация
компании
150 тыс.рублей
высокая
Информационный актив по торгово-экономическим вопросам_
Обработка заявок
клиентов
Номенклатура и количество
услуг по взаимным
обязательствам
в электронном
виде
менеджер
утрата
доступности
80 тыс.рублей
средняя
Внутренний
регламент
деятельности
Сведения об открытых
расчетных и иных счетах.
Операции по банковским
счетам
в электронном
виде
главный
бухгалтер
утрата
доступности
210 тыс.рублей
очень
высокая
Информация об эффективности
сделок, договоров
в электронном
виде
директор
утрата
доступности
70 тыс.рублей
средняя
ИНН, документы об уплате
налогов и обязательных
платежах
в электронном
виде
главный
бухгалтер
утрата
доступности
140 тыс.рублей
высокая
Информационный актив о предоставляемых услугах_
Обработка заявок
клиентов
Сведения об обработанных и
необработанных заказах
в электронном
виде
менеджер
стоимость его
воссоздания
60 тыс.рублей
средняя
Внутренний
Разрабатываемые проекты по
в электронном
директор
стоимость его
180 тыс.рублей
высокая
20
регламент
деятельности
автоматизации предприятий и
бизнес-процессов
виде
воссоздания
Информационный актив по вопросам обеспечения безопасности
Внутренний
регламент
деятельности
Информация об организации и
состоянии физической охраны
административного здания
в электронном
виде
директор
стоимость его
воссоздания
180 тыс. рублей_
очень
высокая
Информация о защищаемых
информационных ресурсах
в электронном
виде
директор
утрата
доступности
160 тыс.рублей
очень
высокая
Базы данных ООО «Верона»
в электронном
виде
системный
админист.
стоимость его
воссоздания
350 тыс. рублей
очень
высокая
Информация о детальной
структуре корпоративной сети
в электронном
виде
системный
администрат
ор
утрата
доступности
300 тыс. рублей
очень
высокая
Информационный актив по организационно-управленческой деятельности_
Внутренний
регламент
деятельности
Условия индивидуальных
трудовых договоров с
работниками и
руководителями
в электронном
виде
главный
бухгалтер
репутация
компании
60 тыс. рублей
средняя
Услуги организации
Получение прибыли
Комплектующие для ПК
материальный
объект
директор
первоначальна
я стоимость
актива
120 тыс. рублей
высокая
Оборудование
Обеспечение
необходимых
условий работы
Компьютеры, принтеры,
телефоны, кабели и т.п.
материальный
объект
директор
первоначальна
я стоимость
актива
150 тыс. рублей
средняя
На настоящий момент насчитывают более 30 различных видов
конфиденциальной информации. Это при целом рассмотрении не может
создавать благоприятную атмосферу в смыслах обеспечения их
информационной безопасности. Пользователи информационных средств
организации должны подписывать соответствующие обязательства по
отношению к конфиденциальности (соглашение о неразглашении). Служащими
обычно подписываются такие обязательства как часть основных условий
приемки на работу. Договор о соблюдении конфиденциальности информации
должен пересматриваться при изменении условий приема на работу или
контрактных условий, особенно в том случае, когда служащий собирается
увольняться или при окончании срока действия контракта.
ИT-ресурсы компании «Верона» делятся на три группы:
1. Информацию, которая является коммерческой тайной;
2. Конфиденциальную информацию;
3. Строго конфиденциальную информацию.
Сведения, которые относятся к этим группам, приведем в таблице 3.
Таблица 2
Перечень сведений конфиденциального характера ООО «Верона»
№
п/п
Наименование сведений
Гриф
конфиденциальности
Нормативный
документ,
реквизиты, №№
статей
1.
Сведения о кандидатах, их
персональные данные
строго
конфиденциально
Указ президента
РФ №188
Закон «О
персональных
данных»
2.
Сведения о планах инвестиций,
закупок, продаж
коммерческая тайна
Указ президента
РФ №188
3.
Сведения о состоянии банковских
счетов предприятия и
производимых операциях
строго
конфиденциально
Федеральный закон
№98-ФЗ ст.11
4.
Сведения о состоянии
программного и компьютерного
обеспечения
конфиденциально
Федеральный закон
№98-ФЗ ст.11
5.
Сведения об особенностях,
используемых и разрабатываемых
технологий и специфике их
применения
конфиденциально
Федеральный закон
№98-ФЗ ст.11
22
После оценки информационных активов предприятия, необходимо
провести их ранжирование, что бы в дальнейшем выявить актуальные и
неактуальные угрозы, и в зависимости от ранга, проводить построение
технических мер для обеспечения защиты. Результаты ранжирования активов
компании «Верона» представим в таблице 4.
Таблица 3
Результаты ранжирования активов _
Наименование актива
Ценность актива (ранг)
Сведения делового характера
4
Информационный актив по торгово-
экономическим вопросам
4
Информационный актив о предоставляемых
услугах
5
Информационный актив по вопросам
обеспечения безопасности
5
Информационный актив по организационно-
управленческой деятельности
2
Услуги организации
3
Оборудование
3
Активы, которые имеют наибольшую ценность:
1.Информационные активы об оказанных услугах;
2. Информационные активы по вопросам обеспечения безопасности;
3.Сведения с чисто деловым характером;
4. Информационные активы по торгово-экономическим вопросам;
5.Услуги организации;
6.Оборудование;
7.Информационный актив по организационно-управленческой
деятельности.
23
1.2.2. Оценка уязвимостей активов
Политика безопасности является результатом совместной деятельности
технического персонала, возложенного на системного администратора,
способного понять все аспекты политики и ее реализации, а также директора,
способного влиять на проведение политики в жизнь.
В одном из пунктов данного положения говорится, что для обеспечения
поддержания информационной безопасности на высоком уровне, один раз в год
будет проводиться проверка внутренним аудитом, которая построена на полном
соответствии правовых и законодательных документах по аудиторской
деятельности Российской Федерации. В ходе проверки будет применяться
детальный анализ риска, который включает в себя оценку уязвимости активов.
Уязвимостью информации называется возможность возникновения таких
состояний, при которых появляются условия для реализации угрозы
безопасности данным. Сама по себе наличие уязвимости не наносит ущерба, так
как для этого необходимым является наличие соответствующих угроз. Наличие
уязвимостей при отсутствии таких угроз не требует использования защитных
мер, но уязвимости должны быть зафиксированы и в дальнейшем проверены на
случаи изменений ситуации.
Такие виды оценок предполагают идентификацию уязвимости в
окружающей среде, организациях, процедурах, персонале, менеджменте,
администрации, аппаратных средствах, программном обеспечении или
аппаратуре связи, которые могут быть использованы источниками угроз для
нанесения ущерба активу и деловому функционированию организации, которые
осуществляются с их применением. Стоит отметить, что некорректно
применяемые, а также неправильно работающие защитные меры могут сами по
себе быть источником появления уязвимости. Понятие «уязвимости» может
быть отнесено к свойствам или атрибутам активов, которые используются
другим образом или для другой цели, чем та, для которой приобретались или
изготавливались данные активы. Начальные данные для оценки уязвимостей
должны получаться от владельца или пользователя активов, специалиста по
24
обслуживающим устройствам, эксперта по программным и аппаратным
средствам систем информационных технологий.
Результат оценивания уязвимостей активов ООО «Верона» представлены
в таблице 5.
25
Таблица 4
Результаты оценки уязвимости активов
Группы уязвимости
Содержание уязвимостей
Информацио
нные активы
об
оказанных
услугах
Информаци
онные
активы по
вопросам
обеспечени
я
безопасност
и
Сведения с
чисто
деловым
характеро
м
Информаци
онные
активы по
торгово-
экономичес
ким
вопросам
Услуги
организации
Оборудова
ние
Информац
ионный
актив по
организац
ионно-
управленч
еской
деятельнос
ти
1. Среда и инфраструктуры
Неправильное применение физических
средств управления доступа в
здания
низкий
низкий
низкий
низкий
низкий
низкий
низкий
Нестабильная работа электросети
низкий
низкий
низкий
низкий
средний
низкий
2. Аппаратное обеспечение
Отсутствие схем периодических замен
средний
Отсутствие контроль за изменением
конфигураций
низкий
3. Программное обеспечение
Отсутствие механизма идентификации и
аутентификации
низкий
низкий
низкий
низкий
низкий
Отсутствие аудиторских проверок
низкий
низкий
низкий
низкий
низкий
низкий
низкий
Неконтролируемая загрузка и применение
программного обеспечения
низкий
низкий
низкий
низкий
средний
низкий
4. Коммуникация
Незащищенность линий связи
высокая
высокий
высокий
высокий
высокий
высокий
Отсутствие идентификации и
аутентификации отправителя и получателя
высокий
высокий
высокий
высокий
высокий
высокий
Отсутствие подтверждения посылок или
получений сообщений
высокий
средний
средний
средний
средний
средний
5. Документ (документооборот)
26
Хранение в незащищенном месте
низкий
низкий
низкий
низкий
низкий
Бесконтрольное копирование
низкий
низкий
низкий
низкий
низкий
6.Персонал
Недостаточная подготовка персонала по
вопросу обеспечения безопасности
низкий
низкий
низкий
низкий
низкий
низкий
низкий
Отсутствие механизма отслеживания
низкий
низкий
низкий
низкий
низкий
низкий
низкий
7. Общие уязвимые места
Отказы системы из-за отказов одного из
элементов
низкий
Неадекватный результат проведения
технического обслуживания
низкий
низкая