Файл: Учебнометодическое пособие к практическим работам основная профессиональная образовательная программа.docx

2. 
   
   1   2   3   4   5   6   7   8

---

Расчет рисков по угрозе нарушения «конфиденциальности»

Для каждого информационного потока рассчитывается коэффициент локальной либо удаленной защищенности информации, хранящейся на ресурсе, в зависимости от типа доступа. Если доступ локальный, то рассчитывается только коэффициент локальной защищенности информации. Если доступ удаленный, то рассчитывается коэффициент удаленной защищенности информации, хранящейся на ресурсе и коэффициент локальной защищенности рабочего места пользователя.

1. 
   Расчет коэффициентов защищенности.
   

Коэффициент локальной защищенности информациирассчитывается, если доступ к информации в данном информационном потоке локальный. Он равен сумме весов средств физической и локальной защиты информации. Учитываются все средства физической защиты и средства локальной защиты информации, обеспечивающие защиту информации по угрозе «конфиденциальность».

Рассмотрим пример расчета для «открытого» сервера:

• 
  средства физической защиты: контроль доступа в помещение, где расположен ресурс (физическая охрана, дверь с замком, специальный пропускной режим в помещение) (22), система видеонаблюдения (16);
  
• 
  средства локальной защиты: отсутствие дисководов и USB-портов (10), наличие соглашений о конфиденциальности (20).
  

Коэффициент удаленной защищенности информации на ресурсерассчитывается, если доступ к информации в данном информационном потоке удаленный. Он необходим для того, чтобы учесть сетевые средства защиты, и равен сумме весов средств корпоративной сетевой защиты информации (межсетевой экран, серверная антивирусная защита).

Рассмотрим пример расчета для «открытого» сервера:

• 
  средства корпоративной сетевой защиты информации на сервере: DLP-система (24).
  

Коэффициент локальной защищенности рабочего места пользователя (группы пользователей) рассчитывается только при удаленном доступе к информации. Он равен сумме весов средств

---

физической, локальной и персональной сетевой защиты информации.

Рассмотрим пример расчета для «открытого» сервера:

• 
  средства физической защиты: контроль доступа в помещение, где расположен ресурс (физическая охрана, дверь с замком, специальный пропускной режим в помещение) (22), система видеонаблюдения (16);
  
• 
  средства локальной защиты: отсутствие дисководов и USB-портов (10), наличие соглашений о конфиденциальности (20), средства антивирусной защиты (10);
  
• 
  средства персональной защиты: межсетевой экран (5), система криптозащиты электронной почты (5).
  

Для дальнейших расчетов по каждому потоку из трех коэффициентов выбирается наименьший коэффициент защищенности (НК). Расчёт результирующих коэффициентов для информационных потоков представлен в табл.5.5.

Таблица 5.5

Информационный поток	Коэффициент локальной защищенности информации	Коэффициент удаленной защищенности информации	Коэффициент локальной защищенности рабочего места	НК
Руководство организации – Сервер закрытого контура	86	–	106	86
Руководство организации – Сервер открытого контура	68	–	88	68
Технический отдел – Сервер закрытого контура	80	–	70	70
Технический отдел – Сервер открытого контура	60	–	62	60
Финансовый отдел – Сервер закрытого контура	82	–	76	76
Финансовый отдел – Сервер открытого контура	65	–	64	64
Удалённый сотрудник – Сервер закрытого контура	50	28	34	28
Удалённый сотрудник – Сервер открытого контура	45	24	22	22

---

2. 
   Учет наличия доступа через VPN
   

При локальном доступе VPN не учитывается, поскольку локальная сеть не используется для передачи информации.

При удалённом доступе через VPN к наименьшему коэффициенту защищенности потока прибавляется вес VPN шлюза (20). Это сетевое устройство повышает защищённость информации. При этом от наименьшего коэффициента переходят к результирующему: РК = НК+20 или РК = НК+0. Расчёт результирующих коэффициентов для информационных потоков представлен в табл. 5.6.

Таблица 5.6

Информационный поток	Наименьший коэффициент защищенности	Вес VPN-соединения	Результирующий коэффициент
Руководство организации – Сервер закрытого контура	86	0	86
Руководство организации – Сервер открытого контура	68	0	68
Технический отдел – Сервер закрытого контура	70	0	70
Технический отдел – Сервер открытого контура	60	0	60
Финансовый отдел – Сервер закрытого контура	76	0	76
Финансовый отдел – Сервер открытого контура	64	0	64
Удалённый сотрудник – Сервер закрытого контура	28	20	48
Удалённый сотрудник – Сервер открытого контура	22	20	42

3. 
   Расчёт итогового коэффициента защищённости
   

Далее от результирующего коэффициента (РК) переходят к итоговому коэффициенту (ИК) защищенности. Рассчитывается он следующим образом:

• 
  если количество пользователей 1, и у группы нет доступа в Интернет, то ИК=1/РК;
  
• 
  если количество человек N и у группы пользователей нет доступа в Интернет, то ИК=N/РК;
  
• 
  если группа пользователей имеет доступ в Интернет, то ИК увеличивается в 2 раза:ИК=2N/РК.
  

---

Если при удаленном доступе к Интернет-пользователей VPN-соединение не используется (Интернет заведен на компьютер, а не на сервер), то для них итоговый коэффициент защищенности (ИК) умножается на 4, в силу отсутствия зашиты шлюза ИК=4N/РК. Расчёт итоговых коэффициентов для информационных потоков представлен в табл. 5.7.

Таблица 5.7

Информационный поток	Результирующий коэффициент защищенный	Количество человек в группе	Наличие Интернет-соединения	Итоговый коэффициент защищенности
Руководство организации – Сервер закрытого контура	86	10	Есть (2N/РК)	0,233
Руководство организации – Сервер открытого контура	68			0,294
Технический отдел – Сервер закрытого контура	70	13	Есть (2N/РК)	0,371
Технический отдел – Сервер открытого контура	60			0,433
Финансовый отдел – Сервер закрытого контура	76	17	Нет (N/РК)	0,224
Финансовый отдел – Сервер открытого контура	64			0,266
Удалённый сотрудник – Сервер закрытого контура	48	6	Есть (2N/РК)	0,25
Удалённый сотрудник – Сервер открытого контура	42			0,286

4. 
   Расчёт итоговой вероятности
   

Чтобы получить итоговую вероятность (ИВ), необходимо сначала определить базовую вероятность (БВ) реализации угрозы нарушения конфиденциальности и умножить её на ИК: ИВ=БВ×ИК. Базовая вероятность БВ реализации угрозы «К» определяется на основе метода экспертных оценок. Группа экспертов определяет БВ для каждой информации (для каждого потока). БВ может задать владелец информации.

---