16
1.2 Анализ рисков информационной безопасности
1.2.1 Идентификация и оценка информационных активов
Идентификация информационных ресурсов должна быть выполнена в
отношении поименованных информационных объектов (массивов и баз данных,
документов и массивов документов, сообщений и т. д.) с учетом выявления
сведений по их владению и использованию.
Активы компанииделятся на 2 класса:
информационные ресурсы;
аппаратные ресурсы.
Определение информационных ресурсов выполняется обычно в
отношении поименованных информационных объектов (баз данных,
документов, сообщений и т.д.) с учетом определения их владельца и
использования [5].
Логично выделить несколько характеристических показателей
использования:
• В функциональных подсистемах (сервисах) АС и в
автоматизированных задачах таких подсистем, при решении которых важны
данные их этих информационных объектов;
• В службах и подразделениях (с указанием должностей), в
отношении которых решаются автоматизированные задачи;
• В других удаленных объектах ОИ (представительствах, площадках)
с указанием наименования и местоположения объекта [3].
Важным и обязательным критерием объекта должен быть уровень
конфиденциальности.
Категорирование активов фирмы можно назвать необходимым элементом
организации работ по выполнению условий информационной безопасности
предприятия в целом, целями которого являются:
• Реализация нормативно-методической основы для разностороннего
подхода к защите ресурсов компании (задач, информации, рабочих станций,
АРМ и т.д.);
17
• Выработка типовых решений по внедряемым мерам ИБ и
распределению программно-аппаратных средств защиты для различного рода
рабочих станций АС фирмы.
Активы компании можно разделить на два класса:
• Информационные ресурсы;
• Аппаратные ресурсы.
В зависимости от цикличности решения функциональных задач и
максимальной задержке получения итоговых данных вводятся 4 категории
доступности информации [6].
«Беспрепятственная доступность», при которой задача доступна в любое
время (задача решается постоянно, задержка результата может составлять всего
несколько секунд или минут).
«Высокая доступность», при которой доступ есть без существенных
задержек (задача выполняется ежедневно, задержка результата не превышает
нескольких часов).
«Средняя доступность», при которой имеются существенные задержки
доступа (задача решается за несколько дней, задержка результата не превышает
нескольких дней).
«Низкая доступность», при которой задержка практически не
лимитирована (задача решается несколько недель или месяцев, результат
доступен через несколько недель).
Для поддержания должного уровня безопасности различных аппаратных
ресурсов в компании вводятся следующие категории.
Категории устойчивости:
«Высшая» – включает в себя все критические аппаратные средства
(СУБД, дисковые массивы, базу данных АБС, контролер домена, файл-сервер,
межсетевые экраны, сервера технологических процессов, коммутаторы,
маршрутизаторы). Также к высшей категории устойчивости могут отнести
компьютеры с установленными средствами криптозащиты данных.
«Средняя» – включает в себя рабочие станции сотрудников.
Непрерывность работы в этом случае обеспечивается наличием запасных
рабочих станций.
18
«Низкая» – включает в себя концентраторы и офисную технику.
Категории доступа:
«Строго ограниченный» – подразумевает регламентированный приказами
руководства физический доступ к данной категории вычислительной техники, а
также имеет инструктивные и регламентирующие документы. К данной группе
относят ЭВМ в установленными крипто программами, сервер СУБД, дисковые
массивы, базу АБС, контроллер домена, файловый сервер, коммутаторы,
маршрутизаторы, межсетевые экраны и т.д. [10].
«Ограниченный» – включает в себя рабочие станции пользователи и
другую вычислительную технику, доступ к которой регламентируется
должностными инструкциями сотрудников фирмы.
Используемые в технологических процессах каналы связи не
категорируются.
Перечень активов, подлежащих защите, приведен в таблице 2.
19
Таблица 2
Оценка информационных активов компании
Вид деятельности
Наименование
актива
Форма
предоставления
актива
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Количествен-
ная оценка
(тыс. рублей)
Качествен-
ная оценка
Работа с
клиентами
Сведения о
клиентах и
партнерах
Информация на
носителях и в
линиях связи,
он-лайн-
сервисах
Руководитель
компании, кассиры
Репутация
компании,
результаты
финансовой
деятельности
100
высокая
Противодействие
конкурентам
Сведения о
планах
противодействия
конкурентам
Информация на
носителях и в
линиях связи,
он-лайн-
сервисах
Руководитель
компании, кассиры
Репутация
компании,
результаты
финансовой
деятельности
150
имеющая
критическо
е значение
Финансовая
отчетность
Данные анализа
финансовой
деятельности
компании
Информация на
носителях и в
линиях связи,
бумажных
документах
Руководитель
компании,
сотрудники отдела
по работе с
картами
Репутация
компании,
результаты
финансовой
деятельности
90
средняя
Работа с
партнерами
Сведения о
контактах с
другими
фирмами
Информация на
носителях и в
линиях связи,
бумажных
документах
Руководитель
компании,
сотрудники отдела
по работе с
картами, клиенты
Репутация
компании,
результаты
финансовой
деятельности
160
имеющая
критическо
е значение
20
Продолжение таблицы 2
Вид
деятельности
Наименование
актива
Форма
предоставления
актива
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Количествен-
ная оценка
(тыс. рублей)
Качествен-
ная оценка
Работа с
партнерами
Сведения о
контактах с
другими
фирмами
Информация на
носителях и в
линиях связи,
бумажных
документах
Руководитель
компании,
сотрудники отдела
по работе с картами,
клиенты
Репутация
компании,
результаты
финансовой
деятельности
160
имеющая
критическое
значение
Разработка
стратегии
развития
Сведения о
политике
развития новых
направлений
деятельности
Информация на
носителях и в
линиях связи,
бумажных
документах
Руководитель
компании,
сотрудники отдела
по работе с картами,
клиенты
Репутация
компании,
результаты
финансовой
деятельности
80
средняя
Работа с
клиентами
Договоры на
выполнение
работ
Информация на
носителях и в
линиях связи
Руководитель
компании,
сотрудники отдела
по работе с
клиентами
Репутация
компании,
результаты
финансовой
деятельности
150
имеющая
критическое
значение
Рекламная
деятельность
Маркетинговые
исследования
Информация на
носителях и в
линиях связи
Руководитель
компании,
сотрудники отдела
по работе с ценными
бумагами
Репутация
компании,
результаты
финансовой
деятельности
150
имеющая
критическое
значение
Разработка
стратегии
развития
Стратегия
действий на
рынке
Информация на
носителях и в
линиях связи
Руководитель
компании,
сотрудники отдела
по работе с
клиентами
Репутация
компании,
результаты
финансовой
деятельности
130
высокая
21
Продолжение таблицы 2
Вид
деятельности
Наименование
актива
Форма
предоставления
актива
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Количествен-
ная оценка
(тыс. рублей)
Качествен-
ная оценка
Внутренняя
деятельность
Личные
сведения о
сотрудниках
фирмы
Информация на
носителях и в
линиях связи
Руководитель
компании,
сотрудники отдела
по работе с
клиентами
Репутация
компании,
результаты
финансовой
деятельности
130
высокая
Внутренняя
деятельность
Сведения о
системе защите
компании
Информация на
носителях и в
линиях связи
Руководитель
компании,
сотрудники отдела
анализа
Репутация
компании,
результаты
финансовой
деятельности
170
имеющая
критическое
значение
Внутренняя
деятельность
Сведения о
заработной
плате
работников
Информация на
носителях и в
линиях связи
Руководитель
компании,
сотрудники
кредитного отдела
Репутация
компании,
результаты
финансовой
деятельности
140
Высокая
Обеспечение ИБ
компании
Имена
пользователей
и пароли
Информация на
носителях и в
линиях связи
Руководитель
компании,
сотрудники
кредитного отдела
Репутация
компании,
результаты
финансовой
деятельности
140
Высокая
Обеспечение ИБ
компании
Структура
системы
защиты
Информация на
носителях и в
линиях связи
Руководитель
компании,
сотрудники
кредитного отдела
Репутация
компании,
результаты
финансовой
деятельности
135
Высокая
22
Продолжение таблицы 2
Вид
деятельности
Наименование
актива
Форма
предоставления
актива
Владелец актива
Критерии
определения
стоимости
Размерность оценки
Количествен-
ная оценка
(тыс. рублей)
Качествен-
ная оценка
Обеспечение
ИБ компании
Содержание
политики
безопасности
Программное
обеспечение
Руководитель,
начальник ИТ-
отдела,
пользователи ИС
Репутация компании,
результаты
финансовой
деятельности
125
высокая
Статистичес-
кая
деятельность
Сведения о
результатах
продаж
Программное и
аппаратное
обеспечение
Руководитель,
начальник ИТ-
отдела,
пользователи ИС
Репутация компании,
результаты
финансовой
деятельности
129
высокая
Рекламная
деятельность
Сведения о
рекламных
компаниях
Совокупность
файлов
Руководитель,
начальник ИТ-
отдела,
пользователи ИС
Репутация компании,
результаты
финансовой
деятельности
129
средняя
Обеспечение
юридической
поддержки
Информация об
исках к
компании
Электронные
сообщения
Руководитель,
начальник ИТ-
отдела,
пользователи ИС
Репутация компании,
результаты
финансовой
деятельности
135
высокая
Обеспечение
юридической
поддержки
Проекты
договоров
Электронные
сообщения
Сотрудники
отдела по работе
с клиентами,
клиенты
Репутация компании,
результаты
финансовой
деятельности
135
высокая
Работа с
клиентами
Сведения о
клиентах и
партнерах
Электронные
сообщения
Сотрудники
отдела по работе
с клиентами,
клиенты
Репутация компании,
результаты
финансовой
деятельности
135
высокая
23
Перечень сведений конфиденциального характера компании приведен в
таблице 3.
Таблица 3
Перечень сведений конфиденциального характера компании
№
п/п
Наименование
сведений
Гриф
конфиденциаль-
ности
Нормативный документ,
реквизиты, №№ статей
1.
Сведения о
программном
обеспечении,
принципах
построения,
структуре и составе
оборудования
корпоративной
информационной
системы компании
Конфиденциально
Указ Президента РФ от 6 марта
1997 года № 188, ФЗ РФ от 29
июля 2004 г. N 98-ФЗ О
коммерческой тайне, ФЗ РФ от
27 июля 2006 г. N 149-ФЗ «Об
информации, информационных
технологиях и о защите
информации»
Указ Президента РФ от
06.03.1997 № 188 (ред. от
23.09.2005) «Об утверждении
Перечня сведений
конфиденциального характера»
2.
Входящая и
исходящая
корреспонденция (в
том числе в
электронном виде)
Для внутреннего
пользования
ФЗ РФ от 29 июля 2004 г. N 98-
ФЗ О коммерческой тайне
3.
Персональная
информация о
сотрудниках
Строго
конфиденциально
З РФ от 27 июля 2006 г. N 152-
ФЗ «О персональных данных»
Указ Президента РФ от
06.03.1997 № 188 (ред. от
23.09.2005) «Об утверждении
Перечня сведений
конфиденциального характера»;
4.
Бухгалтерские и
финансовые
сведения, в том
числе документы по
установленным
формам отчетности
о финансово-
хозяйственной
деятельности
Для внутреннего
пользования
ФЗ РФ от 29 июля 2004 г. N 98-
ФЗ О коммерческой тайне
Указ Президента РФ от
06.03.1997 № 188 (ред. от
23.09.2005) «Об утверждении
Перечня сведений
конфиденциального характера»;
24
Продолжение таблицы 3
№
п/п
Наименование сведений
Гриф
конфиден-
циальности
Нормативный документ, реквизиты,
№№ статей
5.
Сведения,
раскрывающие систему
организации и
состояние сохранности
коммерческой тайны в
компании, методы и
способы защиты
конфиденциальной
информации от утечки,
утери или искажения
Строго
конфиденц
иально
ФЗ РФ от 27 июля 2006 г. N 149-ФЗ
«Об информации, информационных
технологиях и о защите
информации», ФЗ РФ от 29 июля
2004 г. N 98-ФЗ О коммерческой
тайне
6.
Система организации и
разграничения доступа
в КИС,
идентификаторы и
пароли, используемые
сотрудниками
компании для доступа к
информации
Строго
конфиденц
иально
ФЗ РФ от 27 июля 2006 г. N 149-ФЗ
«Об информации, информационных
технологиях и о защите
информации»
7.
Сведения о результатах
продаж
Банковская
тайна
ФЗ РФ от 27 июля 2006 г. N 149-ФЗ
«Об информации, информационных
технологиях и о защите
информации»
Указ Президента РФ от 06.03.1997
№ 188 (ред. от 23.09.2005) «Об
утверждении Перечня сведений
конфиденциального характера», ГК
РФ, статья 139.
Федеральный закон «О компаниях
и банковской деятельности» от
02.12.1990 N 395-1
8.
Сведения о финансовых
операциях компании
Строго
конфиденц
иально
ФЗ РФ от 27 июля 2006 г. N 149-ФЗ
«Об информации, информационных
технологиях и о защите
информации»
Указ Президента РФ от 06.03.1997
№ 188 (ред. от 23.09.2005) «Об
утверждении Перечня сведений
конфиденциального характера», ГК
РФ, статья 139
25
Активы, имеющие наибольшую ценность и поэтому выбранные в качестве
объекта защиты информации, приведены в таблице 4.
Таблица4
Результаты ранжирования активов
Наименование актива
Ценность актива (ранг)
Сведения о клиентах и партнерах
5
Сведения о планах противодействия конкурентам
5
Данные анализа финансовой деятельности
компании
5
Сведения о политике развития новых направлений
деятельности
4
Маркетинговые исследования
3
Стратегия действий на рынке
3
Личные сведения о сотрудниках фирмы
3
Сведения о системе защите компании
3
Содержание политики безопасности
3
Ущерб от раскрытия секретных данных отражается в потере достижений,
упущенной финансовой выгоде, материальном ущербе клиентов из-за хищения
персональных данных, административной и уголовной ответственности,
изменение отношений в коллективе из-за обнародования данных по ЗП
работников, о возможных изменениях в кадровом составе и т. п. [11]
Методика недопущения утечки секретных данных могут состоит из 3
компонентов
• Работа с сотрудниками.
Главный источник утечки данных – люди. Человеческий фактор сводит на
0 любые самые изощренные способы защиты. Главные принципы и правила
управления сотрудниками выделены в ГОСТ Р ИСО/МЭК 27002-2012 «ИТ.
Методы и средства поддержания безопасности. Свод норм и правил руководства
ИБ». Соблюдение этих правил поможет ощутимо минимизировать влияние
человеческого фактора, избежать типичных ошибок и предотвратить перехват
данных [2].