• 
  документ о политике информационной безопасности;
  
• 
  распределение обязанностей по обеспечению информационной безопасности;
  
• 
  обучение и подготовка персонала к поддержанию режима информационной безопасности;
  
• 
  уведомление о случаях нарушения защиты;
  
• 
  средства защиты от вирусов;
  
• 
  планирование бесперебойной работы организации;
  
• 
  контроль копирования программного обеспечения, защищенного законом об авторском праве;
  
• 
  защита документации организации;
  
• 
  защита данных;
  
• 
  контроль соответствия политике безопасности
  

Процедура аудита безопасности информационной системы включает в себя проверку наличия перечисленных ключевых точек, оценку полноты и правильности их реализации, а также анализ их адекватности существующим рискам. Такой подход может дать ответ только на уровне «это хорошо, а это плохо». Вопросы же «насколько плохо или хорошо», «до какой степени критично или некритично» остаются без ответа. Поэтому актуальным является создание такой методики, которая выдавала бы руководителю количественный итог, полную картину ситуации, цифрами подтверждая рекомендации специалистов, отвечающих за обеспечение безопасности информации в компании. Рассмотрим, что легло в основу такой методики.

Деятельность по обеспечению информационной безопасности направлена на то, чтобы не допустить убытков от потери конфиденциальной информации. Соответственно, уже предполагается наличие ценной информации, из-за потери которой предприятие может понести убытки. Благодаря нехитрым логическим измышлениям получаем следующую цепочку: источник угрозы — фактор (уязвимость) — угроза (действие) — последствия (атака)

Угрозу отождествляют обычно либо с характером (видом, способом) дестабилизирующего воздействия на информацию, либо с последствиями (результатами) такого воздействия. Однако такого рода термины могут иметь много трактовок. Возможен и иной подход к определению угрозы безопасности информации, базирующийся на понятии «угроза». В соответствии с ожеговским «Словарем русского языка», «угроза» — это намерение нанести физический, материальный или иной вред общественным или личным интересам, возможная опасность. Иначе говоря, понятие угроза жестко связано с юридической категорией «ущерб», которую Гражданский Кодекс определяет как «фактические расходы, понесенные субъектом в результате нарушения его прав (например, разглашения или использования нарушителем конфиденциальной информации), утраты или повреждения имущества, а также расходы, которые он должен будет произвести для восстановления нарушенного права и стоимости поврежденного или утраченного имущества» (ГК РФ, часть I, ст. 15). Анализ негативных последствий реализации угроз предполагает обязательную идентификацию возможных источников угроз, уязвимостей, способствующих их проявлению и методов реализации. И тогда цепочка вырастает в схему, представленную на рис. 1.

---

---

Рис. 1.

В ходе анализа необходимо убедиться, что все возможные источники угроз и уязвимости идентифицированы и сопоставлены друг с другом, а всем идентифицированным источникам угроз и уязвимостям сопоставлены методы реализации. При этом важно иметь возможность, при необходимости, не меняя самого методического инструментария, вводить новые виды источников угроз, методов реализации, уязвимостей, которые станут известны в результате развития знаний в этой области.

Угрозы классифицируются по возможности нанесения ущерба субъекту отношений при нарушении целей безопасности. Ущерб может быть причинен каким-либо субъектом (преступление, вина или небрежность), а также стать следствием, не зависящим от субъекта проявлений. Угроз не так уж и много. При обеспечении конфиденциальности информации это может быть хищение (копирование) информации и средств ее обработки, а также ее утрата (неумышленная потеря, утечка). При обеспечении целостности информации список угроз таков: модификация (искажение) информации; отрицание подлинности информации; навязывание ложной информации. При обеспечении доступности информации возможно ее блокирование, либо уничтожение самой информации и средств ее обработки.

Рис. 2. Структура классификаций: а) «Источники угроз»; б) «Уязвимости»; в) «Методы реализации»

Все источники угроз можно разделить на классы, обусловленные типом носителя, а классы на группы по местоположению (рис. 2а). Уязвимости также можно разделить на классы по принадлежности к источнику уязвимостей, а классы на группы и подгруппы по проявлениям (рис. 2б). Методы реализации можно разделить на группы по способам реализации (рис. 2в). При этом необходимо учитывать, что само понятие «метод», применимо только при рассмотрении реализации угроз антропогенными источниками. Для техногенных и стихийных источников это понятие трансформируется в понятие «предпосылка».

Классификация возможностей реализации угроз (атак), представляет собой совокупность возможных вариантов действий источника угроз определенными методами реализации с использованием уязвимостей, которые приводят к реализации целей атаки. Цель атаки может не совпадать с целью реализации угроз и может быть направлена на получение промежуточного результата, необходимого для достижения в дальнейшем реализации угрозы. В случае такого несовпадения атака рассматривается как этап подготовки к совершению действий, направленных на реализацию угрозы, т.е. как «подготовка к совершению» противоправного действия. Результатом атаки являются последствия, которые являются реализацией угрозы и/или способствуют такой реализации.

---

Сам подход к анализу и оценке состояния безопасности информации основывается на вычислении весовых коэффициентов опасности для источников угроз и уязвимостей, сравнения этих коэффициентов с заранее заданным критерием и последовательном сокращении (исключении) полного перечня возможных источников угроз и уязвимостей до минимально актуального для конкретного объекта.

Исходными данными для проведения оценки и анализа (рис. 3) служат результаты анкетирования субъектов отношений, направленные на уяснение направленности их деятельности, предполагаемых приоритетов целей безопасности, задач, решаемых автоматизированной системой и условий расположения и эксплуатации объекта.

Благодаря такому подходу возможно:

• 
  установить приоритеты целей безопасности для субъекта отношений;
  
• 
  определить перечень актуальных источников угроз;
  
• 
  определить перечень актуальных уязвимостей;
  
• 
  оценить взаимосвязь угроз, источников угроз и уязвимостей;
  
• 
  определить перечень возможных атак на объект;
  
• 
  описать возможные последствия реализации угроз.
  

Результаты проведения оценки и анализа могут быть использованы при выборе адекватных оптимальных методов парирования угрозам, а также при аудите реального состояния информационной безопасности объекта для целей его страхования.

При определении актуальных угроз, экспертно-аналитическим методом определяются объекты защиты, подверженные воздействию той или иной угрозы, характерные источники этих угроз и уязвимости, способствующие реализации угроз.

На основании анализа составляется матрица взаимосвязи источников угроз и уязвимостей из которой определяются возможные последствия реализации угроз (атаки) и вычисляется коэффициент опасности этих атак как произведение коэффициентов опасности соответствующих угроз и источников угроз, определенных ранее.

Предложенная классификация может служить основой для выработки методики оценки актуальности той или иной угрозы, а уже по выявлению наиболее актуальных угроз могут приниматься меры по выбору методов и средств противостояния им.

Сальватор Дали отмечал: «Не бойся совершенства, тебе его не достичь». Сказанное выше не является панацеей при построении системы безопасности информации. Однако системный подход к решению вопросов информационной безопасности позволяет заложить комплекс мероприятий по парированию угроз безопасности информации уже на стадии проектирования, тем самым избавив себя от излишних затрат в дальнейшем.

---

 

3 Классификация каналов утечки информации

 

Под утечкой информации понимается бесконтрольный и неправомерный выход секретной или конфиденциальной информации за пределы организации или круга лиц, которым эта информация была доверена.

Несанкционированный доступ к информации, обрабатываемой в автоматизированных системах, может быть косвенным (без физического доступа к элементам системы) и прямым (с физическим доступом), а также активным (с изменением элементов системы или информации) и пассивным (без изменения).

Под контролируемой зоной понимают места, в пределах которых исключается бесконтрольное пребывание посторонних лиц. В связи с этим понятием принято различать угрозы, источник которых расположен вне контролируемой зоны, и угрозы, источник которых расположен в пределах контролируемой зоны.

К угрозам, источник которых расположен вне контролируемой зоны, можно отнести, например, такие:

- перехват побочных электромагнитных, акустических и других излуче­ний устройств и линий связи, а также наводок активных излучений на вспомо­гательные технические средства, непосредственно не участвующие в обработке информации (телефонные линии, сети питания, отопления и т. п.);

- перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации поль­зователя и последующих попыток их имитации для проникновения в систему;

- дистанционная фото - и видеосъемка.

Примеры угроз, источник которых расположен в пределах контролируемой зоны:

- хищение учтенных материальных носителей информации;

- хищение производственных отходов (распечаток, записей, списанных носителей информации и т.п.);

- несанкционированное копирование информации;

- отключение или вывод из строя подсистем обеспечения функциониро­вания вычислительных систем (электропитания, охлаждения, ли­ний связи и т.д.);

- применение подслушивающих устройств.

По физическим принципам способы несанкционированного доступа к информации принято подразделять на следующие группы:

- акустические (акустический контроль помещений, транспорта, непосредственно человека, контроль и прослушивание телефонных каналов связи);

- визуально-оптические (наблюдение, фотографирование, видеозапись);

- электромагнитные (перехват побочных электромагнитных излучений и наводок на соседние линии, цепи питания и заземления);

---

Смотрите также файлы

• Проведение аср на железнодорожном транспорте.docx

• 1. классификация сельскохозяйственных.pdf

• Строение гипоталамуса.doc

• Тобольский индустриальный институт.docx

• Русская архитектура xviii век. Быков Дмитрий.pptx