Файл: лекции по ксзи.pdf

щенных ТСОИ,  копирование информации на незарегистрирован­

ный  носитель  информации,  утрата  носителя  с  информацией;

•  неправомерные  действия  со  стороны  лиц,  имеющих  право 

доступа  к  защищаемой  информации  (несанкционированные  из­

менение  информации,  ее  копирование);

• несанкционированный доступ к защищаемой информации за 

счет подключения к ТСОИ, использования закладочных устройств, 

использования  программного  обеспечения  ТСОИ  (маскарада 
пользователя,  внедрения  программных  закладок  и  вирусов,  де­
фектов  ПО),  хищения  носителя  защищаемой  информации,  нару­

шения  функционирования  ТСОИ;

•  неправильное  организационное  обеспечение  защиты  инфор­

мации  (неверно заданные требования  по защите  информации,  их 
несоблюдение, неправильно организованный контроль эффектив­

ности  защиты  информации);

•  ошибки  обслуживающего  персонала  ОИ  (при  эксплуатации 

ТС,  программных  средств,  средств  и  систем  защиты  информа­
ции).

К 

субъективным внешним факторам,

 воздействующим на за­

щищаемую  информацию,  относятся:

• доступ  к защищаемой  информации  с  применением  техниче­

ских  средств  разведки  (радиоэлектронной,  оптико-электронной, 
фотографической, визуально-оптической, акустической, гидроаку­
стической,  компьютерной);

• доступ к защищаемой информации с использованием эффек­

та  «высокочастотного  навязывания»;

• несанкционированный доступ к защищаемой информации за 

счет подключения к ТСОИ, использования закладочных устройств, 

программного  обеспечения  ТСОИ  (маскарада  пользователя,  вне­

дрения  программных закладок и  вирусов, дефектов  ПО),  несанк­

ционированного  физического доступа  на  ОИ,  хищения  носителя 
защищаемой информации, нарушения функционирования ТСОИ;

•  блокирование доступа к защищаемой  информации  путем  пе­

регрузки  ТСОИ  ложными  заявками  на ее  обработку;

• действия криминальных групп и отдельных преступных субъек­

тов;

•  диверсия  в  отношении  ОИ.

6.2.  Угрозы  безопасности  информации

Угроза безопасности информации — это совокупность условий 

и  факторов,  создающих  потенциальную  или  реально  существую­

щую опасность,  связанную с утечкой  информации и/или  несанк­
ционированными  и/или  непреднамеренными  воздействиями  на 
нее  [15].

Из этого определения следует, что некоторые приведенные выше 

факторы  являются  одновременно  и  угрозами,  например  возмож­
ная  диверсия  в  отношении  объекта  информатизации.  С  другой 
стороны,  такой  фактор,  как несоблюдение требований  по защите 
информации,  угрозой  не  является.  Еще  один  пример:  модуляция 
сигналов  ПЭМИН  информационными  сигналами  является  фак­

тором,  а вот  возможность съема  информации  нарушителем  с  ис­

пользованием  этой  особенности  —  угрозой.

Угроза  реализуется  в  виде  атаки,  в  результате  чего  и  происхо­

дит  нарушение  безопасности  информации.  Целесообразно  выде­

лить следующие основные виды нарушения безопасности инфор­

мации:

•  нарушение 

конфиденциальности',

•

  нарушение 

целостности-,

•

  нарушение 

доступности.

Знание  возможных угроз,  а  также  уязвимых  мест  зашиты,  ко­

торые  эти угрозы обычно эксплуатируют, необходимо для выбора 

наиболее  эффективных средств  обеспечения  безопасности.

В  Приложении  2  к  «Руководству  по  разработке  профилей  за­

щиты  и  заданий  по  безопасности»,  выпущенном  ФСТЭК  России 
в развитие  ГОСТ  15408 — 2002,  приведены следующие 

виды угроз

(0 0   —  объект оценки,  т.е.  изделие  ИТ,  АС):

Т. ABUSE — необнаруженная компрометация активов ИТ (пред­

намеренная  или  нет)  в  результате  санкционированных  действий 
уполномоченного  пользователя  ОО.

Т. ACCESS  —  уполномоченный  пользователь  ОО  может полу­

чить доступ  к  информации  или  ресурсам  без разрешения  их  вла­

дельца или лица, ответственного за данную информацию или дан­

ные  ресурсы.

Т. ATTACK  —  необнаруженная  компрометация  активов  ИТ  в 

результате  попытки  нарушителя  (сотрудника  организации  или 

постороннего  лица)  выполнить действия,  которые  ему  не  разре­
шены.

Т. CAPTURE  —  нарушитель  может  перехватить данные,  пере­

даваемые  по  сети.

Т. CONSUME  —  уполномоченный  пользователь  ОО  расходует 

общие ресурсы, ставя под угрозу возможность для других уполно­

моченных  пользователей  получить  доступ  к  этим  ресурсам  или 

использовать  эти  ресурсы.

Т. COVERT — уполномоченный пользователь ОО может (пред­

намеренно или случайно)  передавать (по тайному каналу)  секрет­

ную  информацию  пользователям,  которые  не  имеют  допуска  к 
работе  с данной  информацией.

Т. DENY — пользователь может участвовать в передаче  инфор­

мации  (как  отправитель  или  получатель),  а  затем  впоследствии 
отрицать данный  факт.

T. ENTRY  —  компрометация  активов  ИТ  в  результате  исполь­

зования 0 0  уполномоченным пользователем в ненадлежащее время 

дня  или  в  ненадлежащем  месте.

Т. EXPORT  —  уполномоченный  пользователь  0 0   может  экс­

портировать  информацию  от  0 0   (в  виде  электронной  или  твер­

дой  копии)  и  впоследствии  обрабатывать  ее  способами,  противо­

речащими маркировке информации по степени секретности (конфи­

денциальности) .

T.IMPERSON  —  нарушитель  (постороннее  лицо  или  сотруд­

ник организации)  может получить  несанкционированный доступ 
к  информации  или  ресурсам,  выдавая  себя  за  уполномоченного 
пользователя  0 0 .

Т. INTEGRITY — целостность информации может быть постав­

лена  под  угрозу  из-за  ошибки  пользователя,  аппаратных  ошибок 

или  ошибок  при  передаче.

Т. LINK — нарушитель может иметь возможность наблюдать за 

многократным  использованием  ресурсов  или  услуг  какой-либо 
сущностью (субъектом или объектом) и, анализируя факты такого 

использования,  получать информацию,  которую требуется сохра­
нить  в  секрете.

Т. MODIFY —  целостность информации  может быть нарушена 

вследствие  несанкционированной  модификации  или  уничтоже­

ния  информации  нарушителем.

Т. OBSERVE  —  нарушитель  может  иметь  возможность  наблю­

дать законное  использование ресурса или услуги пользователем, в 
то  время  как  пользователь  желает  сохранить  в  секрете  факт  ис­

пользования  этого  ресурса  или  услуги.

Т. SECRET — пользователь 0 0  может (преднамеренно или слу­

чайно)  наблюдать  (изучать)  информацию,  сохраненную  в  0 0 ,  к 
которой  он  не  имеет допуска.

Следующие угрозы должны  учитываться  при  формулировании 

целей  безопасности  для  среды  изделия  ИТ:

ТЕ. CRASH  —  ошибка  человека,  отказ  программного  обеспе­

чения,  аппаратных средств  или  источников  питания  могут стать 
причиной  внезапного  прерывания  в  работе  0 0 ,  которое  приве­

дет  к  потере  или  искажению  критичных  по  безопасности  дан­

ных.

TE.BADMEDIA  —  старение  и  износ  носителей  данных  или 

ненадлежащее  хранение  и  обращение  со сменным  носителем  мо­
гут  привести  к его  порче,  ведущей  к  потере  или  искажению  кри­

тичных  по  безопасности данных.

ТЕ. PHYSICAL —  критичные  по  безопасности части  ОО  могут 

быть подвергнуты  физической  атаке,  ставящей  под угрозу их без­
опасность.

ТЕ. PRIVILEGE  —  компрометация  активов  ИТ  может  проис­

ходить в результате  непреднамеренных или  преднамеренных дей­

ствий,  предпринятых администраторами  или другими привилеги­

рованными  пользователями.

ТЕ. VIRUS  —  целостность  и/или  доступность  активов  ИТ  мо­

жет  быть  нарушена  в  результате  непреднамеренного  занесения  в 

систему  компьютерного  вируса  уполномоченным  пользователем

00

.

В табл.  6.1  приведены  некоторые угрозы  безопасности  инфор­

мации,  а также  возможные  последствия  от их реализации.  Следу­
ет  заметить,  что  чаше  всего  для  достижения  поставленной  цели 
злоумышленник реализует не  одну,  а некоторую  совокупность из 

перечисленных выше  угроз.  Важность того  или  иного  вида  нару­

шения  безопасности  зависит от многих факторов.  Например,  для 
подчеркнуто  открытой  организации  может  просто  не  существо­
вать  угроз  конфиденциальности  —  вся  информация  считается 
общедоступной.

Та блица  6.1. 

Угрозы  безопасности  информации  и  последствия

от  их  реализации

Угрозы  информационной 

безопасности

Возможные  последствия 

нарушения

конфиден­

циаль­

ности

целост­

ности

работо­
способ­

ности

1. 

Угрозы

, 

связанные  с  организацией  вычислительного  процесса

Разрушение  зданий  (помещений)

+

+

+

Повреждение  зданий  (помещений)

+

+

+

Отказы  аппаратуры  (оборудования)

+

+

+

Сбои  аппаратуры  (оборудования)

+

+

+

Аварии  электропитания

+

+

Нарушения  системы  кондициониро­

вания

+

+

Перебои  с  водоснабжением

+

+

Временное  отсутствие  связи

+

+

Повреждения  кабелей  грызунами 

и  другими  животными

+

+

Короткие  замыкания  от  насекомых

+

+

Изменение  режимов  работы  аппаратуры 

(оборудования)

+

+

+

Внедрение  аппаратных  «жучков»

+

+

+

Внедрение  активных  радиопомех

+

+

Угрозы  информационной 

безопасности

Возможные  последствия 

нарушения

конфиден­

циаль­

ности

целост­

ности

работо­

способ­

ности

Применение  подслушивающих  устройств

+

Перехват  различных  видов  излучений 

от  аппаратуры  (оборудования)

+

Дистанционная  фото-  и  видеосъемка

+

Подключение  к линиям  связи  АТС

+

+

+

Физическое  разрушение  АС 
(компонентов  системы)

+

+

Вывод  из  строя  АС  (компонентов 

системы)

+

+

Вывод  из  строя  подсистем  обеспечения 

функционирования  АС  (компонентов 
системы)

+

+

Отключение  подсистем  обеспечения 
функционирования  АС  (компонентов 
системы)

+

+

Стихийные  бедствия

+

+

+

2. 

Угрозы

, 

связанные  с  хищ ением

, 

порчей

, 

уничтож ением  носителей

Хищение  носителей  информации

+

+

+

Хищение  аппаратуры  (оборудования)

+

+

+

Хищение  отходов  (распечаток,  записей)

+

Порча  носителей  информации

+

+

Копирование  информации  с  немашин­

ных  носителей

+

Чтение  информации  с  немашинных 
носителей

+

Чтение  информации  со  средств 
отображения  и  документирования

+

Разглашение  информации

+

Ознакомление  посторонних  лиц 
с  речевой  информацией

+

Ознакомление  посторонних  лиц 

с  документами

+