Файл: Учебнометодическое пособие к практическим работам основная профессиональная образовательная программа.docx

Таблица 4.1

Средства защиты сервера	Вес
Средства физическойзащиты
Контроль доступа в помещение, где расположен ресурс (физическая охрана, дверь с замком, специальный пропускной режим в помещение)
Средства локальнойзащиты
Отсутствие дисководов и USB портов 10
Средства корпоративной сетевойзащиты
Межсетевой экран
Охранная система
Система антивирусной защиты на сервере
Средства резервирования и контроляцелостности
Аппаратная система контроля целостности
Средства защиты информации (информация №1)	Вес
Средства локальнойзащиты
Средства криптографической защиты (криптозащита данных на АРМ)
Средства резервирования и контроляцелостности
Резервное копирование
Программная система контроля целостности
Средства защиты рабочей станции	Вес
Средство физическойзащиты
Контроль доступа в помещение, где расположен ресурс (дверь с замком, видеонаблюдение)
Средства локальнойзащиты
Средства антивирусной защиты (антивирусный монитор)
Отсутствие дисководов и USB портов
Средства персональной сетевойзащиты
Наличие персонального межсетевого экрана
Система криптозащиты электронной почты

---

3. 
   Определить вид и права доступа
   

Определить вид доступа (локальный, удаленный) и права доступа (чтение, запись, удаление) для каждого пользователя (групп пользователей), а также наличие соединения через VPN, количество человек в группе для каждого информационного потока (табл. 4.2)

Таблица 4.2

Информационный поток	Вид доступа	Права доступа	Наличие VPN- соединения	Количество человек в группе
(Наименование)	(Локальный, удаленный)	(Чтение, за- пись, удале- ние)	(Да, нет)	(1,2,….n)

4. 
   Наличие выхода в Интернет
   

Указать наличие у пользователей выхода в Интернет (табл.4.3)

Таблица 4.3

Пользователь (группа пользователей)	Доступ в Интернет
(Наименование)	(Есть, нет, не анализируется)

5. 
   Определить ущерб
   

Определить ущерб организации от реализации угроз ИБ для каждого информационного потока (табл. 4.4)

Таблица 4.4

Информационный поток	Конфиденциальность	Целостность	Доступность
(Наименование)	(у.е. в год)	(у.е. в год)	(у.е. в час)

Ущерб определяется с участием владельца ИС, либо им самим непосредственно. На этом описание архитектуры ИС завершается.
4.2. Расчет рисков для каждого вида ценной информации по угрозе нарушения «конфиденциальности», «целостности» и «доступности».

1. 
   Расчет рисков по угрозе нарушения «конфиденциальности»
   
   1. 
      Расчет коэффициентов защищенности.
      

---

Для каждого информационного потока рассчитывается коэффициент локальной либо удаленной защищенности информации, хранящейся на ресурсе, в зависимости от типа доступа. Если доступ локальный, то рассчитывается только коэффициент локальной защищенности информации. Если доступ удаленный, то рассчитывается коэффициент удаленной защищенности информации, хранящейся на ресурсе и коэффициент локальной защищенности рабочего места пользователя.

Коэффициент локальной защищенности информациирассчитывается, если доступ к информации в данном информационном потоке локальный. Он равен сумме весов средств физической и локальной защиты информации. Учитываются все средства физической защиты и средства локальной защиты информации, обеспечивающие защиту информации по угрозе «конфиденциальность»:

• 
  средства физической защиты: охрана, замок, пропускной режим в помещение (например, 25);
  
• 
  средства локальной защиты:
  
• 
  отсутствие дисководов и USB портов (например, 10);
  
• 
  криптозащита данных на АРМ (например, 20).
  

Коэффициент удаленной защищенности информации на ресурсе рассчитывается, если доступ к информации в данном информационном потоке удаленный. Он необходим для того, чтобы учесть сетевые средства защиты, и равен сумме весов средств корпоративной сетевой защиты информации. Эти средства (межсетевой экран, серверная антивирусная защита) находятся на сервере.

Коэффициент локальной защищенности рабочего местапользователя (группы пользователей) рассчитывается только при удаленном доступе к информации. Он равен сумме весов средств физической, локальной и персональной сетевой защитыинформации.

• 
  Средства физической защиты – те же.
  
• 
  Средства локальной защиты: антивирус, отсутствие дисководов и USB-портов.
  
• 
  Средства персональной сетевой защиты: межсетевой экран (firewall), средства криптозащиты электронной почты.
  

Эти средства (персональный межсетевой экран, средства криптозащиты электронной почты) находятся на АРМ, подключенном к ЛВС. Указанный коэффициент не определяется для анонимных и авторизованных Интернет-пользователей, т. к. АРМ пользователя в данном случае не является частью ИС. Для дальнейших расчетов по каждому потоку из трех коэффициентов выбирается наименьший коэффициент защищенности (НК). Полученные значения коэффициентов сводятся в табл.4.5

---

.

Таблица 4.5

Информационнй поток	Коэф. локальн. защищен-ти информации	Коэффициент удаленной защищен-ти информации	Коэффициент локальной защищен-ти АРМ	Наименьший коэффициент
(Наименование)	(Ф+Л)	(СКСЗ)	(Ф+Л+ПСЗ)	(НК) min

2. 
   Учет наличия доступа при помощи VPN
   

При локальном доступе VPN не учитывается, поскольку ЛВС не используется для передачи информации. При удаленном доступе через VPN к наименьшему коэффициенту защищенности потока прибавляется вес VPN шлюза (МЭ) и вычисляется результирующий коэффициент: РК=НК+вес VPN шлюза (или +0). Расчеты сводятся в табл.4.6

Таблица 4.6.

Информационный поток	Наименьший коэффициент	Вес VPN соединения	Результирующий коэффициент
(Наименование)	(НК)	(20 либо 0)	(РК)

2. 
   Расчет итогового коэффициента (ИК) защищенности
   

Если количество пользователей 1, и у группы нет доступа в Интернет, то: ИК=1/РК.

Учет количества человек N в группе пользователей: ИК=N/РК.

Если группа пользователей имеет доступ в Интернет, то ИК увеличивается в 2 раза: ИК=2 N/РК.

Если при удаленном доступе Интернет-пользователей VPN-соединение не используется (Интернет заведен на компьютер, а не на сервер), то для них итоговый коэффициент защищенности (ИК) умножается на 4, в силу отсутствия зашиты шлюза ИК= (4 N)/РК. Результаты расчетов сводятся в табл.4.7.

Таблица 4.7

Информационный поток	Результир. коэффициент	Количество человек в группе	Наличие Интернет	Итоговый коэффициент
Гл. бухгалтер –бухгалтерский отчет	(РК)	(N)	I=2,1	ИК=(N I )/РК

---

3. 
   Расчет итоговой вероятности (ИВ)
   

Чтобы получить итоговую вероятность ИВ, необходимо сначала определить базовую вероятность (БВ) реализации угрозы нарушения конфиденциальности и умножить ее на ИК: ИВ=БВ×ИК.

Базовая вероятность БВ реализации k-ой угрозы определяется на основе метода экспертных оценок. Группа экспертов определяет БВ для каждой информации (для каждого потока). Базовую вероятность БВ может задать владелец информации. Результаты расчетов сводятся в табл.4.8.

Таблица 4.8

Информационный поток	Базовая вероятн. (БВ)	Итоговая базовая вероятн. (ИБВ)	Итоговый коэф. (ИК)	Промежуточ. вероятн. (ПВ)	Итоговая вероятн. (ИВ)

Если на ресурсе расположены несколько видов информации, причем к некоторым из них осуществляется доступ через Интернет (группами анонимных, авторизованных или мобильных Интернет-пользователей), то угрозы, исходящие от этих групп пользователей, могут повлиять и на другие виды информации. Следовательно, это необходимо учесть. Если на одном из ресурсов, находящемся в сетевой группе, хранится информация, к которой осуществляют доступ указанные группы пользователей, то это учитывается аналогично для всех видов информации, хранящихся на всех ресурсах, входящих в сетевую группу. В реальной информационной системе все ресурсы, взаимосвязанные между собой, оказывают друг на друга влияние. Т.е. злоумышленник, проникнув на один ресурс информационной системы (например, получив доступ к информации ресурса), может без труда получить доступ к ресурсам, физически связанным со взломанным.

4. 
   Расчет риска по угрозе нарушения «конфиденциальности» для каждого вида информации
   

Риск по угрозе «конфиденциальность» для каждого вида информации рассчитывается, как произведение итоговой вероятности на ущерб:

Rк=ИВi×Di.

где Di – ущерб для каждого i-ого вида информации от реализации угрозы.

5. 
   Расчет риска по угрозе нарушения «конфиденциальности» для ресурса
   

---