|
19.09.2001, среда
| |
Вихорев Сергей Викторович
Директор департамента
ОАО "Элвис Плюс"
КЛАССИФИКАЦИЯ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
1. Терминология и подходы к классификации
Вихорев Сергей Викторович |
Организация обеспечения безопасности информации должна носить комплексный характер и основываться на глубоком анализе возможных негативных последствий. При этом важно не упустить какие-либо существенные аспекты. Анализ негативных последствий предполагает обязательную идентификацию возможных источников угроз, факторов, способствующих их проявлению и, как следствие, определение актуальных угроз безопасности информации.
В ходе такого анализа необходимо убедиться, что все возможные источники угроз идентифицированы, идентифицированы и сопоставлены с источниками угроз все возможные факторы (уязвимости), присущие объекту защиты, всем идентифицированным источникам и факторам сопоставлены угрозы безопасности информации.
Исходя их данного принципа, моделирование и классификацию источников угроз и их проявлений, целесообразно проводить на основе анализа взаимодействия логической цепочки:
источник угрозы - фактор (уязвимость) - угроза (действие) - последствия (атака).
Под этими терминами будем понимать:
Источник угрозы - это потенциальные антропогенные, техногенные или стихийные носители угрозы безопасности.
Угроза (действие) [Threat]- это возможная опасность (потенциальная или реально существующая) совершения какого-либо деяния (действия или бездействия), направленного против объекта защиты (информационных ресурсов), наносящего ущерб собственнику, владельцу или пользователю, проявляющегося в опасности искажения и потери информации.
Фактор (уязвимость) [Vulnerability]- это присущие объекту информатизации причины, приводящие к нарушению безопасности информации на конкретном объекте и обусловленные недостатками процесса функционирования объекта информатизации, свойствами архитектуры автоматизированной системы, протоколами обмена и интерфейсами, применяемыми программным обеспечением и аппаратной платформой, условиями эксплуатации.
Последствия (атака) - это возможные последствия реализации угрозы (возможные действия) при взаимодействии источника угрозы через имеющиеся факторы (уязвимости).
Как видно из определения, атака - это всегда пара "источник - фактор", реализующая угрозу и приводящая к ущербу. При этом, анализ последствий предполагает проведение анализа возможного ущерба и выбора методов парирования угроз безопасности информации
Угроз безопасности информации не так уж и много. Угроза, как следует из определения, это опасность причинения ущерба, то есть в этом определении проявляется жесткая связь технических проблем с юридической категорией, каковой является "ущерб".
2. Ущерб как категория классификации угроз
Проявления возможного ущерба могут быть различны:
- моральный и материальный ущерб деловой репутации организации;
- моральный, физический или материальный ущерб, связанный с разглашением персональных данных отдельных лиц;
- материальный (финансовый) ущерб от разглашения защищаемой (конфиденциальной) информации;
- материальный (финансовый) ущерб от необходимости восстановления нарушенных защищаемых информационных ресурсов;
- материальный ущерб (потери) от невозможности выполнения взятых на себя обязательств перед третьей стороной;
- моральный и материальный ущерб от дезорганизации деятельности организации;
- материальный и моральный ущерб от нарушения международных отношений.
Ущерб может быть причинен каким-либо субъектом и в этом случае имеется на лицо правонарушение, а также явиться следствием независящим от субъекта проявлений (например, стихийных случаев или иных воздействий, таких как проявления техногенных свойств цивилизации). В первом случае налицо вина11 субъекта, которая определяет причиненный вред как состав преступления, совершенное по злому умыслу (умышленно, то есть деяние совершенное с прямым или косвенным умыслом2) или по неосторожности (деяние, совершенное по легкомыслию, небрежности3, в результате невиновного причинения вреда4) и причиненный ущерб должен квалифицироваться как состав преступления, оговоренный уголовным правом.
Во втором случае ущерб носит вероятностный характер и должен быть сопоставлен, как минимум с тем риском, который оговаривается гражданским, административным или арбитражным правом, как предмет рассмотрения.
В теории права под ущербом понимается невыгодные для собственника имущественные последствия, возникшие в результате правонарушения. Ущерб выражается в уменьшении имущества, либо в недополучении дохода, который был бы получен при отсутствии правонарушения (упущенная выгода).
При рассмотрении в качестве субъекта, причинившего ущерб какую-либо личность, категория "ущерб" справедлива только в том случае, когда можно доказать, что он причинен, то есть деяния личности необходимо квалифицировать в терминах правовых актов, как состав преступления. Поэтому, при классификации угроз безопасности информации в этом случае целесообразно учитывать требования действующего уголовного права, определяющего состав преступления.
Вот некоторые примеры составов преступления, определяемых Уголовным Кодексом Российской Федерации.
Хищение - совершенные с корыстной целью противоправные безвозмездное изъятие и (или) обращение чужого имущества в пользу виновного или других лиц, причинившее ущерб собственнику или владельцу имущества5.
Копирование компьютерной информации - повторение и устойчивое запечатление информации на машинном или ином носителе6.
Уничтожение - внешнее воздействие на имущество, в результате которого оно прекращает свое физическое существование либо приводятся в полную непригодность для использования по целевому назначению. Уничтоженное имущество не может быть восстановлено путем ремонта или реставрации и полностью выводится из хозяйственного оборота7.
Уничтожение компьютерной информации - стирание ее в памяти ЭВМ8.
Повреждение - изменение свойств имущества при котором существенно ухудшается его состояние, утрачивается значительная часть его полезных свойств и оно становится полностью или частично непригодным для целевого использования9.
Модификация компьютерной информации - внесение любых изменений, кроме связанных с адаптацией программы для ЭВМ или баз данных10.
Блокирование компьютерной информации - искусственное затруднение доступа пользователей к информации, не связанное с ее уничтожением11.
Несанкционированное уничтожение, блокирование модификация, копирование информации - любые не разрешенные законом, собственником или компетентным пользователем указанные действия с информацией12.
Обман (отрицание подлинности, навязывание ложной информации) - умышленное искажение или сокрытие истины с целью ввести в заблуждение лицо, в ведении которого находится имущество и таким образом добиться от него добровольной передачи имущества, а также сообщение с этой целью заведомо ложных сведений13.
Однако, говорить о злом умысле личности в уничтожении информации в результате стихийных бедствий не приходится, как и тот факт, что вряд ли стихия сможет воспользоваться конфиденциальной информацией для извлечения собственной выгоды. Хотя и в том и в другом случае собственнику информации причинен ущерб. Здесь правомочно применение категории "причинение вреда имуществу". При этом, речь пойдет не об уголовной ответственности за уничтожение или повреждение чужого имущества, а о случаях подпадающих под гражданское право в части возмещения причиненного ущерба (риск случайной гибели имущества - то есть риск возможного нанесения убытков в связи с гибелью или порчей имущества по причинам, не зависящим от субъектов14). По общему правилу в этом случае убытки в связи с гибелью или порчей имущества несет собственник, однако, гражданское право предусматривает и другие варианты компенсации причиненного ущерба.
При рассмотрении в качестве субъекта, причинившего ущерб какое-либо природное или техногенное явление, под ущербом можно понимать невыгодные для собственника имущественные последствия, вызванные этими явлениями и которые могут быть компенсированы за счет средств третьей стороны (страхование рисков наступления события) или за счет собственных средств собственника информации.
Например, страхование представляет собой отношения по защите имущественных интересов физических и юридических лиц при наступлении определенных событий (страховых случаев) за счет денежных фондов, формируемых из уплачиваемых ими страховых взносов15. Объектами страхования могут быть не противоречащие законодательству Российской Федерации имущественные интересы связанные с возмещением страхователем причиненного им вреда личности или имуществу физического лица, а также вреда, причиненного юридическому лицу16.
3. Классификация угроз информационной безопасности
Обобщая изложенное, можно утверждать, что угрозами безопасности информации являются:
- хищение (копирование) информации;
- уничтожение информации;
- модификация (искажение) информации;
- нарушение доступности (блокирование) информации;
- отрицание подлинности информации;
- навязывание ложной информации.
4. Классификация источников угроз
Носителями угроз безопасности информации являются источники угроз. В качестве источников угроз могут выступать как субъекты (личность) так и объективные проявления. Причем, источники угроз могут находиться как внутри защищаемой организации - внутренние источники, так и вне ее - внешние источники. Деление источников на субъективные и объективные оправдано исходя из предыдущих рассуждений по поводу вины или риска ущерба информации. А деление на внутренние и внешние источники оправдано потому, что для одной и той же угрозы методы парирования для внешних и внутренних источников могу быть разными.
Все источники угроз безопасности информации можно разделить на три основные группы:
- Обусловленные действиями субъекта (антропогенные источники угроз).
- Обусловленные техническими средствами (техногенные источники угрозы).
- Обусловленные стихийными источниками.
Антропогенные источники угроз
Антропогенными источниками угроз безопасности информации выступают субъекты, действия которых могут быть квалифицированы как умышленные или случайные преступления. Только в этом случае можно говорит о причинении ущерба. Эта группа наиболее обширна и представляет наибольший интерес с точки зрения организации защиты, так как действия субъекта всегда можно оценить, спрогнозировать и принять адекватные меры. Методы противодействия в этом случае управляемы и напрямую зависят от воли организаторов защиты информации.
В качестве антропогенного источника угроз можно рассматривать субъекта, имеющего доступ (санкционированный или несанкционированный) к работе со штатными средствами защищаемого объекта. Субъекты (источники), действия которых могут привести к нарушению безопасности информации могут быть как внешние [I.A.], так и внутренние [I.B.].
Внешние источники могут быть случайными или преднамеренными и иметь разный уровень квалификации. К ним относятся:
- [I.A.1] криминальные структуры;
- [I.A.2] потенциальные преступники и хакеры;
- [I.A.3] недобросовестные партнеры;
- [I.A.4] технический персонал поставщиков телематических услуг;
- [I.A.5] представители надзорных организаций и аварийных служб;
- [I.A.6] представители силовых структур.
Внутренние субъекты (источники), как правило, представляют собой высококвалифицированных специалистов в области разработки и эксплуатации программного обеспечения и технических средств, знакомы со спецификой решаемых задач, структурой и основными функциями и принципами работы программно-аппаратных средств защиты информации, имеют возможность использования штатного оборудования и технических средств сети. К ним относятся:
- [I.B.1] основной персонал (пользователи, программисты, разработчики);
- [I.B.2] представители службы защиты информации;
- [I.B.3] вспомогательный персонал (уборщики, охрана);
- [I.B.4] технический персонал (жизнеобеспечение, эксплуатация).
Необходимо учитывать также, что особую группу внутренних антропогенных источников составляют лица с нарушенной психикой и специально внедренные и завербованные агенты, которые могут быть из числа основного, вспомогательного и технического персонала, а также представителей службы защиты информации. Данная группа рассматривается в составе перечисленных выше источников угроз, но методы парирования угрозам для этой группы могут иметь свои отличия.
Квалификация антропогенных источников информации играют важную роль в оценке их влияния и учитывается при ранжировании источников угроз.
Техногенные источники угроз
Вторая группа содержит источники угроз, определяемые технократической деятельностью человека и развитием цивилизации. Однако, последствия, вызванные такой деятельностью вышли из под контроля человека и существуют сами по себе. Эти источники угроз менее прогнозируемые, напрямую зависят от свойств техники и поэтому требуют особого внимания. Данный класс источников угроз безопасности информации особенно актуален в современных условиях, так как в сложившихся условиях эксперты ожидают резкого роста числа техногенных катастроф, вызванных физическим и моральным устареванием технического парка используемого оборудования, а также отсутствием материальных средств на его обновление.
Технические средства, являющиеся источниками потенциальных угроз безопасности информации так же могут быть внешними [II.A.]:
- [II.A.1] средства связи;
- [II.A.2] сети инженерных коммуникации (водоснабжения, канализации);
- [II.A.3] транспорт.
и внутренними [II.B.]:
- [II.B.1] некачественные технические средства обработки информации;
- [II.B.2] некачественные программные средства обработки информации;
- [II.B.3] вспомогательные средства (охраны, сигнализации, телефонии);
- [II.B.4] другие технические средства, применяемые в учреждении;
Стихийные источники угроз
Третья группа источников угроз объединяет, обстоятельства, составляющие непреодолимую силу, то есть такие обстоятельства, которые носят объективный и абсолютный характер, распространяющийся на всех. К непреодолимой силе17 в законодательстве и договорной практике относят стихийные бедствия или иные обстоятельства, которые невозможно предусмотреть или предотвратить или возможно предусмотреть, но невозможно предотвратить при современном уровне человеческого знания и возможностей. Такие источники угроз совершенно не поддаются прогнозированию и поэтому меры защиты от них должны применяться всегда.
Стихийные источники потенциальных угроз информационной безопасности как правило являются внешними по отношению к защищаемому объекту и под ними понимаются прежде всего природные катаклизмы [III.A.]:
- [III.A.1] пожары;
- [III.A.2] землетрясения;
- [III.A.3] наводнения;
- [III.A.4] ураганы;
- [III.A.5] различные непредвиденные обстоятельства;
- [III.A.6] необъяснимые явления;
- [III.A.7] другие форс-мажорные обстоятельства18.
Ранжирование источников угроз
При выборе метода ранжирования источников угроз использовалась методология, изложенная в международных стандартах19, а также практический опыт российских экспертов в области информационной безопасности.
Все источники угроз имеют разную степень опасности (Коп)i, которую можно количественно оценить, проведя их ранжирование. При этом, оценка степени опасности проводится по косвенным показателям. В качестве критериев сравнения (показателей) можно, к примеру, выбрать:
- Возможность возникновения источника (К1)i - определяет степень доступности к защищаемому объекту (для антропогенных источников), удаленность от защищаемого объекта (для техногенных источников) или особенности обстановки (для случайных источников).
- Готовность источника (К2)i - определяет степень квалификации и привлекательность совершения деяний со стороны источника угрозы (для антропогенных источников), или наличие необходимых условий (для техногенных и стихийных источников).
- Фатальность (К3)i - определяет степень неустранимости последствий реализации угрозы.
Каждый показатель оценивается экспертно-аналитическим методом по пятибалльной системе. Причем, 1 соответствует самой минимальной степени влияния оцениваемого показателя на опасность использования источника, а 5 - максимальной.
(Коп)i для отдельного источника можно определить как отношение произведения вышеприведенных показателей к максимальному значению (125).
Степень доступности к защищаемому объекту может быть классифицирована по следующей шкале:
- высокая степень доступности - антропогенный источник угроз имеет полный доступ к техническим и программным средствам обработки защищаемой информации (характерно для внутренних антропогенных источников, наделенных максимальными правами доступа, например, представители служб безопасности информации, администраторы);
- первая средняя степень доступности - антропогенный источник угроз имеет возможность опосредованного, не определенного функциональными обязанностями, (за счет побочных каналов утечки информации, использования возможности доступа к привилегированным рабочим местам) доступа к техническим и программным средствам обработки защищаемой информации (характерно для внутренних антропогенных источников);
- вторая средняя степень доступности - антропогенный источник угроз имеет ограниченную возможность доступа к программным средствам в силу введенных ограничений в использовании технических средств, функциональных обязанностей или по роду своей деятельности (характерно для внутренних антропогенных источников с обычными правами доступа, например, пользователи, или внешних антропогенных источников, имеющих право доступа к средствам обработки и передачи защищаемой информации, например, хакеры, технический персонал поставщиков телематических услуг);
- низкая степень доступности - антропогенный источник угроз имеет очень ограниченную возможность доступа к техническим средствам и программам, обрабатывающим защищаемую информацию (характерно для внешних антропогенных источников).
- отсутствие доступности - антропогенный источник угроз не имеет доступа к техническим средствам и программам, обрабатывающих защищаемую информацию.
Степень удаленности от защищаемого объекта можно характеризовать следующими параметрами:
- совпадающие объекты - объекты защиты сами содержат источники техногенных угроз и их территориальное разделение невозможно;
- близко расположенные объекты - объекты защиты расположены в непосредственной близости от источников техногенных угроз и любое проявление таких угроз может оказать существенное влияние на защищаемый объект;
- средне удаленные объекты - объекты защиты располагаются на удалении от источников техногенных угроз, на котором проявление влияния этих угроз может оказать не существенное влияние на объект защиты;
- удаленно расположенные объекты - объект защиты располагается на удалении от источника техногенных угроз, исключающем возможность его прямого воздействия.
- сильно удаленные объекты - объект защиты располагается на значительном удалении от источников техногенных угроз, полностью исключающем любые воздействия на защищаемый объект, в том числе и по вторичным проявлениям.
Особенности обстановки характеризуются расположением объектов защиты в различных природных, климатических, сейсмологических, гидрологических и других условиях. Особенности обстановки можно оценить по следующей шкале:
- очень опасные условия - объект защиты расположен в зоне действия природных катаклизмов;
- опасные условия - объект защиты расположен в зоне, в которой многолетние наблюдения показывают возможность проявления природных катаклизмов;
- умеренно опасные условия - объект защиты расположен в зоне в которой по проводимым наблюдениям на протяжении долгого периода отсутствуют проявления природных катаклизмов, но имеются предпосылки возникновения стихийных источников угроз на самом объекте;
- слабо опасные условия - объект защиты находится вне пределов зоны действия природных катаклизмов, однако на объекте имеются предпосылки возникновения стихийных источников угроз;
- неопасные условия - объект защиты находится вне пределов зоны действия природных катаклизмов и на объекте отсутствуют предпосылки возникновения стихийных источников угроз.
Квалификация антропогенных источников играет важную роль в определении их возможностей по совершению противоправных деяний. Принята следующая классификация уровня квалификации по возможности (уровню) взаимодействия с защищаемой сетью20:
- нулевой уровень - определяется отсутствием возможности какого-либо использования программ;
- первый уровень - ограничивается возможностью запуска задач/программ из фиксированного набора, предназначенного для обработки защищаемой информации (уровень неквалифицированного пользователя);
- второй уровень - учитывает возможность создания и запуска пользователем собственных программ с новыми функциями по обработке информации (уровень квалифицированного пользователя, программиста);
- третий уровень - определяется возможностью управления функционированием сетью, то есть воздействием на базовое программное обеспечение, ее состав и конфигурацию (уровень системного администратора);
- четвертый уровень - определяется всем объемом возможностей субъектов, осуществляющих проектирование и ремонт технических средств, вплоть до включения в состав сети собственных технических средств с новыми функциями по обработке информации (уровень разработчика и администратора).
Нулевой уровень является самым низким уровнем возможностей по ведению диалога источника угроз с защищаемой сетью. При оценке возможностей антропогенных источников предполагается, что субъект, совершающий противоправные действия, либо обладает, либо может воспользоваться правами соответствующего уровня.
Привлекательность совершения деяния со стороны источника угроз устанавливается следующим образом:
- особо привлекательный уровень - защищаемые информационные ресурсы содержат информацию, которая может нанести непоправимый урон и привести к краху организации, осуществляющей защиту;
- привлекательный уровень - защищаемые информационные ресурсы содержат информацию, которая может быть использована для получения выгоды в пользу источника угрозы или третьих лиц;
- умеренно привлекательный уровень - защищаемые информационные ресурсы, содержат информацию, разглашение которой может нанести ущерб отдельным личностям;
- слабо привлекательный уровень - защищаемые информационные ресурсы содержат информацию, которая при ее накоплении и обобщении в течение определенного периода может причинить ущерб организации, осуществляющей защиту;
- не привлекательный уровень - информация не представляет интерес для источника угрозы.
Необходимые условия готовности источника определяются исходя из возможности реализации той или иной угрозы в конкретных условиях расположения объекта. При этом предполагается:
- угроза реализуема - то есть условия благоприятны или могут быть благоприятны для реализации угрозы (например, активизация сейсмической активности);
- угроза умеренно реализуема - то есть условия благоприятны для реализации угрозы, однако долгосрочные наблюдения не предполагают возможности ее активизации в период существования и активной деятельности объекта защиты;
- угроза слабо реализуема - то есть существуют объективные причины на самом объекте или в его окружении, препятствующие реализации угрозы;
- угроза не реализуема - то есть отсутствуют предпосылки для реализации предполагаемого события.
Степень неустранимости последствий проявления угрозы (фатальность) определяется по следующей шкале:
- неустранимые последствия - результаты проявления угрозы могут привести к полному разрушению (уничтожению, потере) объекта защиты, как следствие к невосполнимым потерям и исключению возможности доступа к защищаемым информационным ресурсам;
- практически неустранимые последствия - результаты проявления угрозы могут привести к разрушению (уничтожению, потере) объекта и к значительным затратам (материальным, временным и пр.) на восстановление последствий, сопоставимых с затратами на создание нового объекта и существенному ограничению времени доступа к защищаемым ресурсам;
- частично устранимые последствия - результаты проявления угрозы могут привести к частичному разрушению объекта защиты и, как следствие, к значительным затратам на восстановление, ограничению времени доступа к защищаемым ресурсам;
- устранимые последствия - результаты проявления угрозы могут привести к частичному разрушению (уничтожению, потере) объекта защиты, не требующих больших затрат на его восстановление и, практически не влияющих на ограничение времени доступа к защищаемым информационным ресурсам;
- отсутствие последствий - результаты проявления угрозы не могут повлиять на деятельность объекта защиты.
Результаты проведенного ранжирования относительно конкретного объекта защиты можно свести в таблицу, позволяющую определить наиболее опасные для данного объекта источники угроз безопасности информации.
При выборе допустимого уровня источника угроз. предполагается, что источники угроз, имеющие коэффициент (Коп)i менее (0,1...0,2) могут в дальнейшем не учитываться, как маловероятные.
Определение актуальных (наиболее опасных) угроз осуществляется на основе анализа расположения объектов защиты и структуры построения информационной системы, а также информационных ресурсов, подлежащих защите.
5. Классификация уязвимостей безопасности
Угрозы, как возможные опасности совершения какого-либо действия, направленного против объекта защиты, проявляются не сами по себе, а через уязвимости (факторы), приводящие к нарушению безопасности информации на конкретном объекте информатизации.
Уязвимости присущи объекту информатизации, неотделимы от него и обуславливаются недостатками процесса функционирования, свойствами архитектуры автоматизированных систем, протоколами обмена и интерфейсами, применяемыми программным обеспечением и аппаратной платформой, условиями эксплуатации и расположения.
Источники угроз могут использовать уязвимости для нарушения безопасности информации, получения незаконной выгоды (нанесения ущерба собственнику, владельцу, пользователю информации) Кроме того, возможно не злонамеренные действия источников угроз по активизации тех или иных уязвимостей, наносящих вред.
Каждой угрозе могут быть сопоставлены различные уязвимости. Устранение или существенное ослабление уязвимостей влияет на возможность реализации угроз безопасности информации.
Для удобства анализа, уязвимости разделены на классы (обозначаются заглавными буквами), группы (обозначаются римскими цифрами) и подгруппы (обозначаются строчными буквами). Уязвимости безопасности информации могут быть:
[А] объективными
[В] субъективными
[С] случайными.
Объективные уязвимости
Объективные уязвимости зависят от особенностей построения и технических характеристик оборудования, применяемого на защищаемом объекте. Полное устранение этих уязвимостей невозможно, но они могут существенно ослабляться техническими и инженерно-техническими методами парирования угроз безопасности информации. К ним можно отнести:
[А.I] сопутствующие техническим средствам излучения
- [A.I.a] электромагнитные (побочные излучения элементов технических средств [1], кабельных линий технических средств [2], излучения на частотах работы генераторов [3], на частотах самовозбуждения усилителей [4])
- [A.I.b] электрические (наводки электромагнитных излучений на линии и проводники [1], просачивание сигналов в цепи электропитания, в цепи заземления [2], неравномерность потребления тока электропитания [3])
- [A.I.c] звуковые (акустические [1], виброакустические [2])
[A.II] активизируемые
- [A.II.a] аппаратные закладки (устанавливаемые в телефонные линии [1], в сети электропитания [2], в помещениях [3], в технических средствах [4])
- [A.II.b] программные закладки (вредоносные программы [1], технологические выходы из программ [2], нелегальные копии ПО [3])
[A.III] определяемые особенностями элементов
- [A.III.a] элементы, обладающие электроакустическими преобразованиями (телефонные аппараты [1], громкоговорители и микрофоны [2], катушки индуктивности [3], дроссели [4], трансформаторы и пр. [5])
- [A.III.b] элементы, подверженные воздействию электромагнитного поля (магнитные носители [1], микросхемы [2], нелинейные элементы, поверженные ВЧ навязыванию [3])
[A.IV] определяемые особенностями защищаемого объекта
- [A.IV.a] местоположением объекта (отсутствие контролируемой зоны [1], наличие прямой видимости объектов [2], удаленных и мобильных элементов объекта [3], вибрирующих отражающих поверхностей [4])
- [A.IV.b] организацией каналов обмена информацией (использование радиоканалов [1], глобальных информационных сетей [2], арендуемых каналов [3])
Субъективные уязвимости
Субъективные уязвимости зависят от действий сотрудников и, в основном, устраняются организационными и программно-аппаратными методами:
[B.I] ошибки
- [B.I.a] при подготовке и использовании программного обеспечения (при разработке алгоритмов и программного обеспечения [1], инсталляции и загрузке программного обеспечения [2], эксплуатации программного обеспечения [3], вводе данных [4])
- [B.I.b] при управлении сложными системами (при использовании возможностей самообучения систем [1], настройке сервисов универсальных систем [2], организации управления потоками обмена информации [3])
- [B.I.c] при эксплуатации технических средств (при включении/выключении технических средств [1], использовании технических средств охраны [2], использовании средств обмена информацией [3])
[B.II] нарушения
- [B.II.a] режима охраны и защиты (доступа на объект [1], доступа к техническим средствам [2])
- [B.II.b] режима эксплуатации технических средств (энергообеспечения [1], жизнеобеспечения [2])
- [B.II.c] режима использования информации (обработки и обмена информацией [1], хранения и уничтожения носителей информации [2], уничтожения производственных отходов и брака [3])
- [B.II.d] режима конфиденциальности (сотрудниками в нерабочее время [1], уволенными сотрудниками [2]).
Случайные уязвимости
Случайные уязвимости зависят от особенностей окружающей защищаемый объект среды и непредвиденных обстоятельств. Эти факторы, как правило, мало предсказуемы и их устранение возможно только при проведении комплекса организационных и инженерно-технических мероприятий по противодействию угрозам информационной безопасности:
[C.I] сбои и отказы
- [C.I.a] отказы и неисправности технических средств (обрабатывающих информацию [1], обеспечивающих работоспособность средств обработки информации [2], обеспечивающих охрану и контроль доступа [3])
- [C.I.b] старение и размагничивание носителей информации (дискет и съемных носителей [1], жестких дисков [2], элементов микросхем [3], кабелей и соединительных линий [4])
- [C.I.c] сбои программного обеспечения (операционных систем и СУБД [1], прикладных программ [2], сервисных программ [3], антивирусных программ [4])
- [C.I.d] сбои электроснабжения (оборудования, обрабатывающего информацию [1], обеспечивающего и вспомогательного оборудования [2])
[C.II] повреждения
- [C.II.a] жизнеобеспечивающих коммуникаций (электро-, водо-, газо-, теплоснабжения, канализации [1], кондиционирования и вентиляции [2])
- [C.II.b] ограждающих конструкций (внешних ограждений территорий, стен и перекрытий зданий [1], корпусов технологического оборудования [2])
Ранжирование уязвимостей
Все уязвимости имеют разную степень опасности (Коп)f, которую можно количественно оценить, проведя их ранжирование. При этом, в качестве критериев сравнения (показателей) можно выбрать:
- Фатальность (К1)f - определяет степень влияния уязвимости на неустранимость последствий реализации угрозы. Для объективных уязвимостей это Информативность - способность уязвимости полностью (без искажений) передать полезный информационный сигнал.
- Доступность (К2)f - определяет удобство (возможность) использования уязвимости источником угроз (массогабаритные размеры, сложность, стоимость необходимых средств, возможность использования не специализированной аппаратуры).
- Количество (К3)f - определяет количество элементов объекта, которым характерен та или иная уязвимость.
(Коп)f для отдельной уязвимости можно определить как отношение произведения вышеприведенных показателей к максимальному значению (125).
Каждый показатель оценивается экспертно-аналитическим методом по пятибалльной системе. Причем, 1 соответствует самой минимальной степени влияния оцениваемого показателя на опасность использования уязвимости, а 5 - максимальной.
Для подгруппы уязвимостей пг(Коп)f определяется как среднее арифметическое коэффициентов отдельных уязвимостей в подгруппе.
Для удобства анализа, г(Коп)f для группы нормируется относительно совокупности всех коэффициентов подгрупп в своем классе, а к(Коп)f для класса определяется как совокупность коэффициентов подгрупп класса нормированных относительно всей совокупности коэффициентов подгрупп.
Результаты анализа с указанием коэффициентов опасности каждой уязвимости, сводятся в таблицу.
6. Классификация актуальных угроз
При определении актуальных угроз, экспертно-аналитическим методом определяются объекты защиты, подверженные воздействию той или иной угрозы, характерные источники этих угроз и уязвимости, способствующие реализации угроз.
На основании анализа составляется матрица взаимосвязи источников угроз и уязвимостей из которой определяются возможные последствия реализации угроз (атаки) и вычисляется коэффициент опасности этих атак как произведение коэффициентов опасности соответствующих угроз и источников угроз, определенных ранее. При этом предполагается, что атаки, имеющие коэффициент опасности менее 0,1 (предположение экспертов), в дальнейшем могут не рассматриваться из-за малой вероятности их совершения на рассматриваемом объекте.
Такая матрица составляется отдельно для каждой угрозы.
- 1 УК РФ, 1996 год, ст. 24
- 2 УК РФ, 1996 год, ст. 25
- 3 УК РФ, 1996 год, ст. 26
- 4 УК РФ, 1996 год, ст. 28
- 5 УК РФ, 1996 год, ст. 158, примечание 1
- 6 УК РФ, 1996 год, ст. 272
- 7 УК РФ, 1996 год, ст. 167
- 8 УК РФ, 1996 год, ст. 272
- 9 УК РФ, 1996 год, ст. 167
- 10 УК РФ, 1996 год, ст. 272
- 11 УК РФ, 1996 год, ст. 272
- 12 УК РФ, 1996 год, ст. 273
- 13 Бюллетень Верховного Суда РСФСР, 1982 год, № 2, С.14
- 14 Румянцев О. Г., Додонов В.Н., Юридический энциклопедический словарь, М., 1997 г., изд. "ИНФРА-М"
- 15 Закон РФ "Об организации страхового дела в Российской Федерации", № 4015-1от 27.10.97 г., ст. 2
- 16 Закон РФ "Об организации страхового дела в Российской Федерации", № 4015-1от 27.10.97 г., ст. 4
- 17 Румянцев О. Г., Додонов В.Н., Юридический энциклопедический словарь, М., 1997 г., изд. "ИНФРА-М"
- 18 В данном случае под термином "другие форс-мажорные обстоятельства" понимается юридическая со-ставляющая, то есть различные решения высших государственных органов, забастовки, войны, революции и т. п., приводящие к возникновению обстоятельств непреодолимой силы. (Румянцев О. Г., Додонов В.Н., Юридический энциклопедический словарь, М., 1997 г., изд. "ИНФРА-М")
- 19 Стандарт ISO:17799-00 (Стандарт Великобритании BS 7799-95 "Практические правила управления ин-формационной безопасностью")
- 20 Руководящий документ. "Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации", Гостехкомиссия России, Сборник руководящих документов по защите информации от несанкционированного доступа, М., 1998 г., п. 4
Вернуться на главную страницу обзора
|
