42
1.2.5. Оценка рисков
Идентифицируем наиболее актуальные угрозы активам ООО «Цитрон»
(таблицы 1.10).
безопасность производственной
деятельности, защита информационных
активов
80 %
правовая, организационная и инженерно–
техническая защита информационных
активов
80%
организация делопроизводства,
направленного на защиту
информационных активов
80 %
предупреждение необоснованного или
открытого доступа к информационных
активов
60 %
выявление и локализация возможных
каналов утечки информационных активов
90 %
обеспечение охраны территории, зданий и
помещений.
90 %
43
Таблица 1.10
Угрозы активам ООО «Цитрон»
№
Описание угрозы
Источник угрозы
Нарушаемые свойства
Объекты воздействия
Уязвимость
1
Угрозы утечки
видовой информации
Внешние нарушители,
внутренние нарушители,
аппаратные закладки
Конфиденциальность
Информация, обрабатываемая
на РС, информация в
электронном виде или на
бумажных носителях
Действия пользователей,
приводящие к возникновению
уязвимостей; внедрение
вредоносных программ,
создающих уязвимости в
программном и программно–
аппаратном обеспечении
2
Кража носителей
информации
Персонал, имеющий доступ
к защищаемой информации;
персонал, осуществляющий
администрирование ИС и
средств защиты
Конфиденциальность,
доступность,
целостность
Информация в электронном
виде или на бумажных
носителях
Действия пользователей,
приводящие к возникновению
уязвимостей
3
Кража ключей и
атрибутов доступа
Персонал, имеющий доступ
к защищаемой информации;
персонал, осуществляющий
администрирование ИС и
средств защиты
Доступность,
целостность
Информация, обрабатываемая
на РС; информация,
обрабатываемая на серверах
Внедрение вредоносных
программ, создающих
уязвимости в программном и
программно–аппаратном
обеспечении
4
Действия
вредоносных
программ (вирусов)
Персонал, имеющий доступ
к защищаемой информации;
персонал, осуществляющий
администрирование ИС и
Целостность,
доступность,
конфиденциальность
Информация, обрабатываемая
на серверах; информация,
обрабатываемая на РС
Внедрение вредоносных
программ, создающих
уязвимости в программном и
44
средств защиты; носитель
вредоносной программы
программно–аппаратном
обеспечении
5
Утрата ключей и
атрибутов доступа
Персонал, осуществляющий
администрирование ИС и
средств защиты;
аппаратные закладки
Доступность,
целостность
Информация, обрабатываемая
на рабочих машинах
Несанкционированные
неумышленные действия
пользователей, приводящие к
возникновению уязвимостей;
неправильные настройки
программного обеспечения,
неправомерное изменение
режимов работы устройств и
программ;
несанкционированные
неумышленные действия
пользователей, приводящие к
возникновению уязвимостей
6
Непреднамеренная
модификация
(уничтожение)
информации
сотрудниками ООО
«Цитрон»
Персонал, имеющий доступ
к защищаемой информации;
персонал, осуществляющий
администрирование ИС и
средств защиты
Доступность,
целостность
Информация, обрабатываемая
на РС; информация в
электронном виде или на
бумажных носителях;
информация, обрабатываемая
на серверах
Несанкционированные
неумышленные действия
пользователей, приводящие к
возникновению уязвимостей
45
7
Разглашение
информации,
модификация,
уничтожение
сотрудниками,
допущенными к ее
обработке
Внешние нарушители;
персонал, имеющий доступ
в контролируемую зону, но
не имеющий доступа к
защищаемой информации
Конфиденциальность,
доступность,
целостность
Информация в электронном
виде или на бумажных
носителях; информация,
обрабатываемая на РС
Действия пользователей,
приводящие к возникновению
уязвимостей
8
Перехват в пределах
контролируемой
зоны внутренними
нарушителями
Персонал, осуществляющий
администрирование ИС и
средств защиты
Конфиденциальность,
доступность,
целостность
Информация, передаваемая по
каналу связи
Действия пользователей,
приводящие к возникновению
уязвимостей; внедрение
вредоносных программ,
создающих уязвимости в
программном и программно–
аппаратном обеспечении
9
Угрозы
несанкционированно
го доступа по
каналам связи
Внешние нарушители
Конфиденциальность
Информация, передаваемая по
каналу связи
Внедрение вредоносных
программ, создающих
уязвимости в программном и
программно–аппаратном
обеспечении; неправильные
настройки программного
обеспечения, неправомерное
изменение режимов работы
устройств и программ
46
10
Угрозы внедрения по
сети вредоносных
программ
Внешние нарушители,
аппаратные закладки
Конфиденциальность,
целостность,
доступность
Информация, обрабатываемая
на серверах; информация,
передаваемая по каналу связи
Внедрение вредоносных
программ, создающих
уязвимости в программном и
программно–аппаратном
обеспечении; неправильные
настройки программного
обеспечения, неправомерное
изменение режимов работы
устройств и программ;
47
Результаты оценки рисков приведены в таблице 1.11.
Таблица 1.11
Результаты оценки рисков информационным активам организации
Риск
Актив
Ранг
риска
Превышение допустимой нагрузки
Сведения о структуре ИС и
методах ее защиты
высокий
Персональные данные
сотрудников и клиентов
высокий
Бухгалтерские и финансовые
сведения
высокий
Сведения о кассовых операциях (в
том числе валютных)
высокий
Система организации и
разграничения доступа в АС
высокий
Сбои и отказы программных средств
Персональные данные
сотрудников и клиентов
высокий
Бухгалтерские и финансовые
сведения
высокий
Сведения о кассовых операциях (в
том числе валютных)
высокий
Система организации и
разграничения доступа в АС
высокий
Недобросовестное исполнение
обязанностей
Сведения о кассовых операциях (в
том числе валютных)
высокий
Система организации и
разграничения доступа в АС
высокий
Выполнение вредоносных программ
Персональные данные
сотрудников и клиентов
высокий
Бухгалтерские и финансовые
сведения
высокий
Сведения о кассовых операциях (в
том числе валютных)
высокий
Использование информационных
активов не по назначению
Сведения об обороте денежных
средств
средний
Сведения о кассовых операциях (в
том числе валютных)
средний
Система организации и
разграничения доступа в АС
средний
Нарушения персоналом
организационных мер по обеспечению
ИБ
Сведения о структуре ИС и
методах ее защиты
средний
Персональные данные
сотрудников и клиентов
средний
Бухгалтерские и финансовые
сведения
средний
Сведения о кассовых операциях (в
том числе валютных)
средний
Действия неавторизованного субъекта
Сведения о кассовых операциях (в
том числе валютных)
средний
48
Риск
Актив
Ранг
риска
Система организации и
разграничения доступа в АС
средний
Неконтролируемая модификация
информационного актива
Сведения о кассовых операциях (в
том числе валютных)
низкий
Система организации и
разграничения доступа в АС
низкий
Несанкционированный логический
доступ
Персональные данные
сотрудников и клиентов
низкий
Бухгалтерские и финансовые
сведения
низкий
Сведения о кассовых операциях (в
том числе валютных)
низкий
1.3. Характеристика комплекса задач, задачи и обоснование
необходимости разработки регламента
1.3.1. Выбор комплекса задач автоматизации и характеристика
существующих бизнес процессов
Информационная безопасность обеспечивается использованием
комплекса технических и организационных мер[21]:
построения модели защищенной системы;
управления доступом к ресурсам системы;
обеспечения целостности и конфиденциальности;
обеспечения наблюдаемости;
защиты от воздействий вирусов и иных воздействий, вызывающих
любую несанкционированную модификацию информации;
защиты информации при передаче информации.
Главной задачей технических средств защиты информации является
предотвращение умышленного или случайного несанкционированного
доступа к информации и ресурсам (с целью ознакомления, использования,
модификации или уничтожения информации) со стороны сотрудников
49
организации или посторонних лиц, которые находятся в пределах зон
безопасности информации, независимо от способа доступа к этим зонам.
Взаимодействие технических средств должно контролироваться с точки
зрения защиты информации. Коммуникационное оборудование и все
соединения с локальными периферийными устройствами должны
располагаться в пределах контролируемой зоны.
Наиболее значимыми для защиты информации являются программные
средства защиты, позволяющие создавать модель защищенной
информационной среды с построением правил разграничения доступа,
централизовано управлять процессами защиты, интегрировать различные
механизмы и средства защиты в единую систему, создавать достаточно
удобный, интуитивно доступный пользовательский интерфейс
администратора безопасности. Причем, с учетом сложности
автоматизированной системы, а также необходимости именно комплексного и
эффективного использования всех автоматизируемых средств защиты
информации, обеспечения высокой управляемости ими, значительную часть
этих средств целесообразно выделять в автономный комплекс средств защиты
информации, в его специфичную функциональную компоненту или
подсистему.
Данная подсистема, как одна из основных в системе технической
защиты информации, должна обеспечивать сохранение основных
функциональных свойств защищенной информации (целостность,
конфиденциальность, доступность и наблюдаемость).
Оценка способности системы обеспечивать каждое из этих
функциональных свойств, производится по сформулированной в
нормативных документах по защите информации системе критериев оценки
защищенности. Состав средств защиты информации и их вклад в обеспечение
функциональных свойств защищаемой системы представлены на рисунке
1.11.
50
Рис. 1.11. Состав средств защиты информации
Комплексная система защиты информации на предприятии
определяется совокупностью организационно–распорядительных и
Средства защиты информации
Средства
Подсистемы защиты
информации
Средства
прикладного и базового программного
обеспечения
Неавтоматизируемые первичные
средства защиты информации
Обеспечения конфиденциальности :
1. Доверительной
2. Административной
3. Анализа скрытых каналов
Обеспечения конфиденциальности
в части повторного
использования объектов
Средства ЗИ в
телекоммуникациях
Обеспечения целостности :
1. Доверительной
2. Административной
Обеспечения целостности
в части отката
Обеспечения конфиденциальности
и целостности в части обмена
Обеспечения доступности:
1. Использования ресурсов
2. Стойкости к отказам
3. Горячей замены
4. Восстановления после сбоев
Обеспечения наблюдаемости
Обеспечения наблюдаемости
в части обеспечения
достоверного канала,
идентификации и аутентификации
при обмене.
Распределение обязанностей:
1. Выделение администратора;
2. Распределение обязанностей администраторов;
3. Распределение обязанностей на основе привилегий .
Идентификация и аутентификация:
1. Внешние идентификация и аутентификация;
2. Одиночная идентификация и аутентификация;
3. Множественная идентификация и аутентификация.
Регистрация:
1. Внешний анализ
2. Защищенный журнал
3. Сигнализация об опасности
4. Детальная регистрация
5. Анализ в реальном времени
Самотестирование:
1. По запросу
2. При старте
3. В реальном времени
Целостность системы защиты:
1. КСЗ с контролем целостности
2. КСЗ с гарантией целостности
3. КСЗ с функциями диспетчера доступа
Аутентификация отправителя и получателя:
1. Базовая
2. С подтверждением
51
инженерно–технических мероприятий, направленных на обеспечение
приемлемого уровня режима информационной безопасности [22].
Разработка регламента информационной безопасности является
длительным и трудоемким процессом, требующего высокого
профессионализма и отличного знания нормативно–правовой базы в области
аудита и информационной безопасности. Проведение аудита режима
информационной безопасности требует существенных временных затрат и не
всегда завершается успешно. Координатором данного процесса является
специалист, на которого генеральным директором ООО «Цитрон» возложена
ответственность за обеспечение режима информационной безопасности.
Данным специалистом координируется деятельность рабочей группы по
разработке, внедрению и совершенствованию регламента на протяжении всего
жизненного цикла, состоящего из пяти последовательных этапов [24]:
– первоначальный аудит безопасности включает проведение
обследования, идентификацию угроз безопасности, защищаемых ресурсов и
оценку рисков. На данном этапе производится анализ текущего состояния
режима обеспечения информационной безопасности, обнаруживаются
существующие уязвимости, наиболее критичные области функционирования
и наиболее чувствительные к угрозам нарушения безопасности бизнес
процессы.
– разработка регламента проведения аудита информационной
безопасности определяет основополагающие условия, требования и базовые
мероприятия по обеспечению режима информационной безопасности в ООО
«Цитрон», позволяющие минимизировать риски до приемлемого уровня.
Результаты данного этапа оформляются в виде согласованных в рамках
рабочей группы решений и утверждаются генеральным директором ООО
«Цитрон».
Разработка регламента проведения аудита информационной
безопасности, основанного на собственных наработках, не всегда является
экономически обоснованной. Во многих случаях приемлемых результатов