17
база данных с информацией о партнерах и рекламодателей, а также сведения о
доступе в панель управления сотрудников компании.
Перечень активов, подлежащих защите, приведен в таблице 1.2.
18
Таблица 1.2
Оценка информационных активов предприятия
Вид деятельности
Наименование
актива
Форма
предоставления
актива
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Количественная
оценка (тыс.
руб)
Качественная
оценка
Работа с клиентами
База данных
клиентов
Документы на
бумажных
носителях, БД в
компьютере
Сотрудники отдела
продаж, отдела
обслуживания
клиентов,
коммерческий директор
Репутация
компании
78
имеющие
критическое
значение
Противодействие
конкурентам
Сведения о планах
противодействия
конкурентам
Электронные и
бумажные
документы
Ген. Директор, его
заместитель и
коммерческий директор
Репутация
компании
60
имеющие
высокое
значение
Статистическая
деятельность
Финансовая и
налоговая
отчетность
Документы на
бумажных
носителях,
электронные
документы
Ген. директор,
коммерческий директор
Успешность
деятельности
компании на
рынке
90
имеющие
критическое
значение
Основная
деятельность
Распределённая
база данных с
информацией о
партнерах и
рекламодателей
Электронные файлы
Ген. директор,
сотрудники отдела
продаж, департаментов
Успешность
деятельности
компании на
рынке
175
имеющие
критическое
значение
19
Вид деятельности
Наименование
актива
Форма
предоставления
актива
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Основная
деятельность
Сведения о доступе
в панель
управления
сотрудников
компании
Электронные файлы
Ген. директор,
сотрудники отдела
продаж, департаментов
Успешность
деятельности
компании на
рынке
160
имеющие
критическое
значение
Статистическая
деятельность
Сведения о
финансовых
операциях
Электронные и
бумажные
документы, ценные
бумаги
Ген.директор, главный
бухгалтер
Успешность
деятельности
компании на
рынке
52
имеющие
среднее
значение
Работа с
партнерами
Сведения о
контактах с
другими фирмами
Документы на
бумажных носителях
Ген. директор,
сотрудники отдела по
работе с партнерами
Репутация
компании
53
имеющие
среднее
значение
Разработка
стратегии развития
Сведения о
политике развития
новых направлений
деятельности
электронные и
бумажные
документы
Ген.директор,
коммерческий
директор, сотрудники
отдела маркетинга
Успех развития
компании
90
имеющие
критическое
значение
Работа с клиентами
Сведения о
заключаемых
договорах
Электронные и
бумажные
документы
Ген. директор, гл.
бухгалтер, сотрудники
отдела продаж,
департаментов
Репутация
компании
78
имеющие
критическое
значение
20
Вид деятельности
Наименование
актива
Форма
предоставления
актива
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Рекламная
деятельность
Маркетинговые
исследования
Электронные и
бумажные
документы
Ген. директор,
сотрудники отдела
маркетинга
Успех
деятельности
компании на
рыке
95
имеющие
критическое
значение
Разработка
стратегии развития
Сведения о
кредитной
политике компании
Электронные и
бумажные
документы
Ген. директор, комм.
директор,
Успех
деятельности
компании на
рыке
70
имеющие
высокое
значение
Взаимодействие с
сотрудниками
Личные сведения о
сотрудниках
фирмы
Трудовые контракты
и электронные
документы
Ген.директор, главный
бухгалтер, сотрудники
отдела кадров
Защищенность
персональных
данных
50
имеющие
среднее
значение
Взаимодействие с
сотрудниками
Сведения о
заработной плате
работников
Электронные и
бумажные
документы
Ген.директор, главный
бухгалтер, сотрудники
отдела кадров
Защищенность
персональных
данных
76
имеющие
критическое
значение
Статистическая
деятельность
Сведения о
результатах продаж
документы на
бумажных
носителях,
электронные
документы
Ген.директор,
начальник отдела
продаж
Успех
деятельности
компании на
рыке
69
имеющие
высокое
значение
Рекламная
деятельность
Сведения о рекламе
компании
Электронные и
бумажные
документы
Ген.директор,
сотрудники отдела
маркетинга и отдела
рекламы
Успех
деятельности
компании на
рыке
45
имеющие
среднее
значение
21
Перечень сведений конфиденциального характера ООО «Спарта» приведен в
таблице 1.3.
Таблица 1.3
Перечень сведений конфиденциального характера ООО «Спарта»
№
п/п
Наименование сведений
Гриф
конфиденциал
ьности
Нормативный
документ, реквизиты,
№№ статей
1.
Сведения о программном
обеспечении, принципах
построения, структуре и составе
оборудования корпоративной
информационной системы
(КИС) компании
КТ
Указ Президента РФ от 6
марта 1997 года № 188,
ФЗ РФ от 29 июля 2004 г.
N 98-ФЗ О коммерческой
тайне, ФЗ РФ от 27 июля
2006 г. N 149-ФЗ "Об
информации,
информационных
технологиях и о защите
информации"
2.
Входящая и исходящая
корреспонденция (в том числе в
электронном виде)
КТ
Федеральный закон от
29.07.2004 N 98-ФЗ (ред.
от 12.03.2014) "О
коммерческой тайне"
3.
Персональная информация о
клиентах и сотрудниках
контрагентов
КТ
Федеральный закон
№152-ФЗ от 27.07.2006
"О персональных
данных"
Актуальная редакция
закона 152-ФЗ от
29.07.2017 с
изменениями,
вступившими в силу с
10.08.2017
4.
Бухгалтерские и финансовые
сведения, в том числе
документы по установленным
формам отчетности о
финансово-хозяйственной
деятельности
КТ
Федеральный закон от
29.07.2004 N 98-ФЗ (ред.
от 12.03.2014) "О
коммерческой тайне"
5.
Сведения, раскрывающие
систему организации и
состояние сохранности
коммерческой тайны в
Компании, методы и способы
защиты конфиденциальной
информации от утечки, утери
или искажения
КТ
Федеральный закон от
27.07.2006 N 149-ФЗ (ред.
от 25.11.2017) "Об
информации,
информационных
технологиях и о защите
информации" (с изм. и
доп., вступ. в силу с
01.01.2018)
22
№
п/п
Наименование сведений
Гриф
конфиденциал
ьности
Нормативный
документ, реквизиты,
№№ статей
6.
Система организации и
разграничения доступа в КИС,
идентификаторы и пароли,
используемые сотрудниками
компании для доступа к
информации
КТ
Федеральный закон от
27.07.2006 N 149-ФЗ (ред.
от 25.11.2017) "Об
информации,
информационных
технологиях и о защите
информации" (с изм. и
доп., вступ. в силу с
01.01.2018)
7.
Сведения о фактах, событиях и
обстоятельствах частной жизни
сотрудников компании,
позволяющие
идентифицировать их личность
(персональные данные)
Федеральный закон
№152-ФЗ от 27.07.2006
"О персональных
данных"
Актуальная редакция
закона 152-ФЗ от
29.07.2017 с
изменениями,
вступившими в силу с
10.08.2017
Активы, имеющие наибольшую ценность и поэтому выбранные в качестве
объекта защиты информации, приведены в таблице 1.4.
Таблица 1.4
Результаты ранжирования активов
Наименование актива
Ценность актива (ранг)
База данных клиентов
5
Распределённая база данных с информацией
о партнерах и рекламодателе
5
Сведения о доступе в панель управления
сотрудников компании
5
Персональные данные сотрудников
4
Сведения о клиентах и партнерах
4
Сведения о заключаемых договорах
4
Входящая и исходящая корреспонденция
4
1.2.2 Оценка уязвимостей активов
Оценка уязвимостей в рассматриваемой компании проводится на основании
распоряжении генерального директора.
23
Оценка уязвимостей информационных активов в ООО «Спарта» проводится
в соответствии с нижеприведенным алгоритмом и этапами.
Определение уязвимостей актива - это экспертная оценка, основанная на
изучении свойств актива и выявлении характеристик актива, которые могут быть
использованы теми или иными угрозами.
Выявление (определение) перечня угроз допустимо начать с анализа
деструктивных факторов, приведенных в ГОСТ Р 51275-99 «Объект
информатизации. Факторы, воздействующие на информацию».
Применительно к организациям, работающим с информацией
конфиденциального характера, наиболее актуальными факторами являются:
* дефекты, сбои, отказы, аварии технических средств и систем;
* дефекты, сбои и отказы программного обеспечения;
* разглашение защищаемой информации лицами, имеющими право доступа к
ней;
* неправомерные действия со стороны лиц, имеющих право доступа к
защищаемой информации;
• несанкционированный доступ к защищаемой информации;
• неправильное организационное обеспечение защиты информации;
• ошибки обслуживающего персонала;
• блокирование доступа к защищаемой информации путем перегрузки
технических средств обработки информации ложными заявками на ее обработку.
На основе сопоставления выявленных угроз и факторов, воздействующих на
активы, необходимо составить перечень актуальных угроз (т. е. именно тех
конкретных угроз, которые могут воздействовать на актив). Составление перечня
актуальных угроз лучше всего поручить специалистам, имеющим
соответствующий опыт в данной области (экспертам).
Результаты оценки уязвимостей формируются в виде списка, где напротив
каждой уязвимости приводится назначенная ей оценка риска ИБ, вероятности
реализации угроз, оценка стоимости актива.
Результаты оценки уязвимости активов приведены в таблице 1.5.
24
Таблица 1.5
Результаты оценки уязвимости активов
Группа уязвимостей
Содержание уязвимости
База
данных
клиенто
в
Распределённа
я база данных с
информацией о
партнерах и
рекламодателе
Сведения о
доступе в
панель
управления
сотруднико
в компании
Персональны
е данные
сотрудников
Сведения
о
клиентах
и
партнера
х
Сведения о
заключаемы
х договорах
Входящая и
исходящая
корреспонденци
я
1. Среда и инфраструктура
Несанкционированный
доступ (НСД) к средствам
хранения информации
(персональным
компьютерам, жестким
дискам, серверам)
высокая
высокая
высокая
высокая
высокая
высокая
высокая
Отсутствие физической
защиты здания, дверей и
окон
низкая
низкая
высокая
низкая
низкая
низкая
средняя
Отсутствие формальной
процедуры для регистрации
и снятия с регистрации
пользователей
низкая
высокая
высокая
низкая
низкая
низкая
средняя
Отсутствие формального
процесса для пересмотра
(надзора) прав доступа
низкая
высокая
высокая
низкая
низкая
низкая
средняя
Перехват информации при
передаче ее по
общедоступным каналам
связи
низкая
низкая
низкая
низкая
средняя
2. Аппаратное обеспечение
25
Группа уязвимостей
Содержание уязвимости
База
данных
клиенто
в
Распределённа
я база данных с
информацией о
партнерах и
рекламодателе
Сведения о
доступе в
панель
управления
сотруднико
в компании
Персональны
е данные
сотрудников
Сведения
о
клиентах
и
партнера
х
Сведения о
заключаемы
х договорах
Входящая и
исходящая
корреспонденци
я
Утечка информации за счет
подслушивания
телефонных линий
Средняя
Средняя
средняя
Недостаточное техническое
обслуживание/неправильна
я установка носителей
данных
Средняя
высокая
высокая
высокая
высокая
высокая
высокая
Утечка по каналам ПЭМИН
средняя
средняя
низкая
высока
Отсутствие эффективного
контроля изменений
конфигурации
высокая
высокая
3. Программное обеспечение
Вирусная опасность
средняя
средняя
средняя
средняя
Отсутствие механизмов
идентификации и
аутентификации, таких как
аутентификация
пользователей
высокая
высокая
низкая
Незащищенные таблицы
паролей
высокая
средняя
Плохой менеджмент
паролей
высокая
высокая
высокая
высокая
высокая
высокая
Активизация ненужных
сервисов
высокая
высокая
средняя
Несанкционированное
копирование документов и
высокая
высокая
средняя
26
Группа уязвимостей
Содержание уязвимости
База
данных
клиенто
в
Распределённа
я база данных с
информацией о
партнерах и
рекламодателе
Сведения о
доступе в
панель
управления
сотруднико
в компании
Персональны
е данные
сотрудников
Сведения
о
клиентах
и
партнера
х
Сведения о
заключаемы
х договорах
Входящая и
исходящая
корреспонденци
я
носителей информации
4. Физический доступ
Незаконное проникновение
злоумышленников
высокая
высокая
Кража
высокая
высокая
Подмена
средняя
средняя
низкая
высока
Хищение документов
высокая
высокая
5.Персонал
Отключение или вывод из
строя подсистем
обеспечения
функционирования
информационных систем
средняя
средняя
высокая
Незаконное получение
атрибутов разграничения
доступа
высокая
высокая
низкая
Несанкционированный
доступ к ресурсам
информационной системы с
рабочих станций легальных
пользователей
высокая
высокая
высокая
высокая
высокая
высокая
высокая
Хищение или вскрытие
шифров криптозащиты
информации
высокая
средняя
6. Общие уязвимые места