Файл: Конспект лекций профессиональная образовательная программа.docx

Контроль безопасности

Контроль безопасности включает множество механизмов: обнаружение попыток нарушения безопасности, анализ случаев успешного вмешательства и возникших потерь и др. Но при этом необходимо решение вопросов, какую информацию в системе следует накапливать и как ее потом анализировать. Проблемой при этом является определение того минимума информации, который бы позволил выявить (не пропустить) возможные события по вмешательству в работу компьютерной системы.

3. 
   Определение приоритетов применения базовых услуг безопасности в ИС
   

Политика информационной безопасности ИС, в зависимости от ее назначения, может строится в соответствии с различными приоритетами реализации базовых услуг безопасности в порядке убывания их важности. Один из примеров такой реализации

• 
  доступность информации (обеспечение устойчивого функционирования системы);
  
• 
  целостность хранимой, обрабатываемой и передаваемой по каналам связи информации;
  
• 
  конфиденциальность хранимой, обрабатываемой и передаваемой по каналам связи информации.
  

Нарушения доступности информационных, программных и аппаратных ресурсов может привести к дезорганизации процесса обработки информации (несанкционированный останов СУБД, ОС, уничтожение данных и так далее).

Нарушение целостности данных, а также программных компонентов ИС, находящихся как на сервере, так и на рабочих станциях может привести к некорректному функционированию программного обеспечения и преодолению системы защиты. Нарушитель, поразив целостность компонент ИС, может заблокировать ее нормальное функционирование и тем самым осуществить атаку на доступность системы.

Нарушение конфиденциальности может привести к разглашению или утечке информации из ИС и нанесению материального и морального ущерба юридическим или физическим лицам, обслуживаемым ИС, а так же к несанкционированному предоставлению привилегий пользователям СУБД и ОС, что может повлечь доступ и искажение информации в ИС и служебной информации файлов аудита СУБД и ОС.

Нарушитель, поразив конфиденциальность компонент автоматизированной системы (например, перехватив административные пароли) может исказить какой либо конфигурационный файл и тем самым осуществить атаку на целостность и доступность системы.

---

В данном примере на первом месте выступает базовая услуга безопасности «Доступность», что характерно для ИС общего пользования, например, ИС заказа авиа- или железнодорожных билетов. Для специальных ИС специального и военного назначения на первое место всегда выступает базовая услуга безопасности «Конфиденциальность».
Контрольные вопросы к теме 1.2.

1. 
   Структура построения политика информационной безопасности объекта защиты
   
2. 
   Описание объекта защиты
   
3. 
   Базовые услуги безопасности
   
4. 
   Специальные механизмы безопасности
   
5. 
   Сервисы безопасности и их реализация
   
6. 
   Определение основных приоритетов информационной безопасности.
   
7. 
   Определение основных приоритетов информационной безопасности в информационной системе.
   

Тема 1.3. Анализ рисков. Формирование перечня критичных ресурсов. Модели нарушителя и угроз.
1.3.1. Анализ рисков в ИС

Анализ рисков — это то, с чего должно начинаться построение политики ИБ ИС. Он включает в себя мероприятия по обследованию безопасности ИС, целью которых является определение того, какие активы ИС и от каких угроз надо защищать, а также в какой степени те или иные активы нуждаются в защите.

В процессе анализа рисков проводятся следующие работы:

• 
  идентификация всех активов в рамках выбранной области деятельности;
  
• 
  определение ценности идентифицированных активов;
  
• 
  идентификация угроз и уязвимостей для идентифицированных активов;
  
• 
  оценка рисков для возможных случаев успешной реализации угроз информационной безопасности в отношении идентифицированных активов;
  
• 
  выбор критериев принятия рисков;
  
• 
  подготовка плана обработки рисков.
  

Необходимо идентифицировать только те активы, которые определяют функциональность ИС и существенны с точки зрения обеспечения безопасности. Важность (или стоимость) актива определяется величиной ущерба, наносимого в случае нарушения его конфиденциальности, целостности или доступности. В ходе оценки стоимости активов определяется величина возможного ущерба для каждой его категории при успешном осуществлении угрозы.

Оценка уязвимостей активов ИС, обусловленных слабостями их защиты, предполагает определение вероятности успешного осуществления угроз безопасности. Под уровнем угрозы понимается вероятность ее осуществления. Оценка угроз включает в себя

---

• 
  определение уязвимых мест системы;
  
• 
  анализ вероятности угроз, направленных на использование
  этих уязвимых мест;
  
• 
  оценка последствий успешной реализации каждой угрозы;
  
• 
  оценка стоимости возможных мер противодействия;
  
• 
  выбор оправданных механизмов защиты (возможно, с использованием стоимостного анализа).
  

Таким образом, величина риска определяется на основе стоимости актива, уровня угрозы и величины уязвимости. С увеличением стоимости актива, уровня угрозы и величины уязвимости возрастает и величина риска. На основе оценки величины рисков определяются требования безопасности.

Анализ рисков состоит в том, чтобы выявить существующие риски и оценить их величину, т. е. дать им количественную оценку. Оценка рисков включает в себя:

• 
  идентификация ключевых (критичных) активов ИС;
  
• 
  определение важности тех или иных активов;
  
• 
  идентификация существующих угроз безопасности и уязвимостей, делающих возможным осуществление угроз;
  
• 
  вычисление рисков, связанных с осуществлением угроз безопасности.
  

Определение набора адекватных контрмер осуществляется в ходе построения подсистемы ИБ ИС и управления рисками. Задача управления рисками включает выбор и обоснование выбора контрмер, позволяющих снизить величину рисков до приемлемого уровня. Управление рисками включает в себя оценку стоимости реализации контрмер, которая должна быть меньше величины возможного ущерба. Разница между стоимостью реализации контрмер и величиной возможного ущерба должна быть тем больше, чем меньше вероятность причинения ущерба. Контрмеры могут способствовать уменьшению величины рисков различными способами:

• 
  уменьшая вероятность осуществления угроз безопасности;
  
• 
  ликвидируя уязвимости или уменьшая их величину;
  
• 
  уменьшая величину возможного ущерба;
  
• 
  выявляя атаки и другие нарушения безопасности;
  
• 
  способствуя восстановлению ресурсов ИС, которым был нанесен ущерб.
  

Таким образом, работы по анализу и управлению рисками, можно условно разделить на три последовательных этапа. Задачей первого этапа является ответ на вопрос: «Достаточно ли для защиты системы применения средств базового уровня, реализующих функции безопасности в порядке их приоритета, или необходимо проведение более детального анализа защищенности?». На втором этапе производится идентификация рисков и оценивается их величина. На третьем этапе решается вопрос о выборе адекватных контрмер.

---

В процессе оценки защищенности информационной системы определяются угрозы, действующие на активы, а также уязвимости информационной системы, в которой обрабатываются активы и которые могут привести к реализации угроз. Угрозы и уязвимости рассматриваются только во взаимосвязи друг с другом (т.к. Инцидент - событие, указывающее на действительную, мнимую или вероятную реализацию угрозы, возникает в случае появления комплиментарной пары «угроза-уязвимость»). Уязвимость, через которую невозможно реализовать ни одну из угроз, не имеет смысла. Аналогично, угроза, которую невозможно реализовать ввиду отсутствия уязвимости, также неактуальна.

2. 
   Перечни критичных ресурсов в ИС.
   

1. 
   Категорирование ресурсов
   

В ИС предприятия хранятся и обрабатываются различные виды открытой и служебной конфиденциальной информации. Прежде всего, следует определить, что является ценным активом компании с точки зрения информационной безопасности. Стандарт ISO 17799, подробно описывающий процедуры системы управления ИБ, выделяет следующие виды активов:

• 
  информационные ресурсы (базы и файлы данных, контракты и соглашения, системная документация, научно-исследовательская информация, документация, обучающие материалы и пр.);
  
• 
  программное обеспечение,
  
• 
  материальные активы (компьютерное оборудование, средства телекоммуникаций и пр.);
  
• 
  сервисы (поддерживающая инфраструктура);
  
• 
  сотрудники компании, их квалификация и опыт,
  
• 
  нематериальные ресурсы (репутация и имидж компании).
  

Следует определить, нарушение информационной безопасности, каких активов может нанести ущерб компании. В этом случае актив будет считаться ценным, и его необходимо будет учитывать при анализе информационных рисков.

Инвентаризация заключается в составлении перечня ценныхактивов компании. Как правило, данный процесс выполняют владельцыактивов.

Различаются следующие категории информационных ресурсов, подлежащих защите в предприятия:

• 
  Информация, составляющая коммерческую тайну;
  
• 
  Информация, составляющая служебную тайну;
  
• 
  Персональные данные сотрудников;
  
• 
  Конфиденциальная информация (включая коммерческую тайну, служебную тайну и персональные данные), принадлежащая третьей стороне;
  
• 
  Данные, критичные для функционирования ИС и работы бизнес подразделений.
  

---

Первые четыре категории информации представляют собой сведения ограниченного распространения, для которых в качестве основной угрозы безопасности рассматривается нарушение конфиденциальности информации путем раскрытия ее содержимого третьим лицам, не допущенным в установленном порядке к работе с этой информацией.

К последней категории «критичных» данных, относятся информационные ресурсы предприятия, нарушение целостности или доступности которых может привести к сбоям функционирования ИС либо бизнес подразделений.

В процессе категорирования активов необходимо оценить их критичность для бизнес-процессов компании или, другими словами, определить, какой ущерб понесет компания в случае нарушения информационной безопасности активов.

Данный процесс вызывает наибольшую сложность, так как ценностьактивовопределяетсянаосновеэкспертныхоценокихвладельцев. В процессе данного этапа часто проводятся обсуждения между консультантами по разработке системы управления и владельцами активов. Это помогает последним понять, каким образом следует определять ценность активов с точки зрения информационной безопасности (как правило, процесс определения критичности активов является для владельца новым и нетривиальным). Кроме этого, для владельцев активов разрабатываются различные методики оценки. В частности, такие методики могут содержать конкретные критерии (актуальные для данной компании), которые следует учитывать при оценке критичности.

Оценка критичности активов выполняется по трем параметрам: конфиденциальности, целостности и доступности (следует оценить ущерб, который понесет компания при нарушении конфиденциальности, целостности или доступности активов).

Оценку критичности активов можно выполнять в денежных единицах и в уровнях. Однако, учитывая тот факт, что для анализа информационных рисков необходимы значения в денежных единицах, в случае оценки критичности активов в уровнях, следует определить оценку каждого уровня в деньгах.

---