Файл: Виды и состав угроз информационной безопасности ( Понятие и виды информационных угроз. Система обеспечения информационной безопасности ).pdf

Анализ проблем безопасности нужно проводить с учетом экономических интересов, угроз и потерь, к которым может привезти успешность предполагаемой атаки на информационную систему определенного предприятия. Частная модель угроз безопасности информационной системы строится на основе следующего анализа:

•источник атаки: внешний или внутренний относительно защищаемого объекта (предприятия, организации и т. д.);

•учет всех зон риска: экономическая сфера компании, физические и информационные ресурсы;

•факторы влияния на безопасность: уязвимость данных и информации, степень их защищенности, ПО, компьютеры предприятия и другие устройства, материальные и денежные ресурсы, работники;

•выявление видов, масштабов и направлений возможных атак;

•способы реализации угрозы: объект атаки, механизм и скорость действия, предрасполагающие факторы уязвимости;

•последствия: оцениваются с точки зрения денежных потерь, морального вреда и возможной компенсации^[4].

Существует два основных взгляда на любую угрозу. Ее отождествляют с одним или несколькими видами и способами реализации атаки в соответствии с теорией информационной безопасности или с результатами ее воздействия на рассматриваемую компанию, т. е. с последствиями, к которым она приводит.

2.2 Юридические аспекты угрозы информационной безопасности

Модель угрозы информационной системе рассматривается в прочной связке с понятием ущерба в первой части 15-й статьи Гражданского кодекса РФ. Он определен как фактические расходы, понесенные субъектом в результате нарушения его прав (кража конфиденциальной информации, ее распространение или использование в корыстных целях), потери и повреждения имущества, а также расходы на восстановление.

В России вопрос касательно защиты информации по сей день остается достаточно сложным. Ведь даже сейчас не существует в этой области общепринятой нормы на терминологию. В разных законах одни и те же сущности могут определяться по-разному. Хотя принимаются меры для стандартизации терминологии в данной области.

Любая, даже базовая, модель угроз информационной безопасности требует анализа и обязательной идентификации как возможных атак, так и методов ее реализации. Для этих целей созданы различные классификации (по источнику, по вероятности, по характеру, по объекту, по последствиям), которые позволяют наиболее точным образом спроектировать ответную реакцию защиты на ту или иную атаку. Угрозы классифицируются благодаря следующим критериям:

•Компоненты информационной системы, на которые могут быть нацелены атаки. К ним относятся данные, компьютеры и ПО, сети и прочие структуры, поддерживающие работу системы.

•Методы осуществления, которые могут быть как случайные, так и преднамеренные. Также учитываются события техногенного или природного генеза.

•Местоположение источника атаки - внешнее или внутреннее по отношению к используемой системе.

•Составляющие информационной безопасности, на которые могут быть нацелены атаки, а именно, доступность, конфиденциальность и целостность данных.

Анализ и классификация позволяют добиться состояния системы защиты, когда большая часть возможных угроз идентифицирована и сопоставлены способы нейтрализации. Разумеется, не имеет смысла каждую систему защиты строить для обороны от всего и вся. Применяется вероятностный подход и оценивается актуальность каждого отдельного класса угроз, и именно против них в системе защиты будут предприняты меры^[5].

2.3 Алгоритм анализа и оценки угроз

С помощью анализа строится матрица связей моделей угроз информационной безопасности, уязвимых точек и вероятных последствий успешной атаки. Вычисляется коэффициент степени опасности каждого отдельного нападения как произведение коэффициента опасности угрозы на коэффициент опасности источника атаки. Принятие подобных мер позволяет:

•определить приоритетные цели для системы защиты;

•установить список актуальных атак и источников угроз;

•найти уязвимости информационной системы;

•оценить возможность осуществления успешной атаки на основе взаимосвязи уязвимостей и источников угроз;

•разработать подробный ход той или иной угрозы и построить защиту для реагирования на возможный сценарий атаки;

•детально описать последствия успешной атаки;

•спроектировать систему защиты и комплекс управления информационной безопасностью организации.

Модель угроз информационной безопасности ФСТЭК ставит ошибки персонала (пользователей, администраторов, операторов и других лиц, занимающихся обслуживанием систем) на одно из первых мест по части размеров причиненного ущерба. По данным исследований, порядка 65 % убытков при успешных атаках происходит из-за случайных ошибок, совершенных по невнимательности, халатности или из-за отсутствия правильной подготовки сотрудников. Подобные нарушения могут представлять как источник самостоятельных угроз (ввод неправильных данных, ошибки в программах, приводящие к краху системы), так и уязвимость (ошибки администратора), которой могут воспользоваться атакующие.

Как уже ранее отмечалось, сам пользователь может быть опасен и являться моделью угрозы информационной безопасности. Образцы подобной ситуации рассмотрим ниже:

•злонамеренные - вывод из строя информационной системы, или, например, закладка логической бомбы в коде базы данных, которая сработает при определенных условиях и разрушит хранящуюся в ней информацию;

•непреднамеренные - случайное искажение данных или их потеря;

•взлом системы управления;

•кража персональных данных (пароли, адреса, банковские счета);

•передача персональных данных посторонним лицам или организациям.

Уязвимости системы также должны быть рассмотрены в модели угроз информационной безопасности организации. Примерами обоснованности данного подхода могут являться действия пользователей, приводящие к ослаблению защиты системы и открывающие путь к прямой угрозе:

•отказ от работы с информационной системой, например, как следствие нежелания осваивать новое программное обеспечение;

•несоответствие ПО требованиям пользователя;

•невозможность полноценной работы из-за отсутствия соответствующих навыков (недостаточное знание компьютерных технологий, неумение обрабатывать сообщения об ошибках) и возникающие в результате этого сбои в работе системы.

2.4 Автоматизация и угрозы

Пользователь может представлять собой весомый список угроз для информационной системы. Поэтому логичным решением по борьбе с непреднамеренными ошибками будет уменьшение их доли и переход к автоматизации: применение догмы Fool Proof Device, стандартизация, регламентация и строгий контроль действий пользователя. Однако и тут существуют модели угроз информационной безопасности, которые следует учитывать:

•забытое аннулирование доступа к системе уволенного сотрудника;

•некачественная документация автоматизированной системы и отсутствие технической поддержки;

•нарушение правил эксплуатации, как случайное, так и умышленное;

•выход из штатного режима работы из-за действий пользователей (слишком большое число запросов) или администрирующего персонала (плохая оценка объемов обрабатываемых данных в единицу времени);

•ошибки при настройке;

•отказы в аппаратно-программном обеспечении;

•нарушение целостности данных из-за сбоев в работе системы.

В информационную систему, помимо ее основной структуры, входит и вспомогательная, которая обеспечивает работу основных частей системы. Для поддерживающих структур также следует рассматривать модели угроз информационной безопасности^[6]. Примером таковых являются техногенные и природные катастрофы. Опишем подробнее угрозы более масштабного характера:

•Нарушения в работе систем связи (интернет, электрическая сеть, водоканалы, газоснабжение, охлаждение).

•Повреждение или разрушение зданий.

•Чрезвычайные ситуации в городе или стране, когда граждане в силу каких-либо причин отказываются выполнять свои должностные обязанности: гражданские войны, крупные аварии, террористические взрывы или их угроза, забастовки и т. д.

•Стихийные бедствия.

По данным статистики, на долю стихийных и техногенных бедствий приходится от 13 % до 15 % потерь, которые терпят информационные системы. В силу данного обстоятельства существуют даже те информационные системы, которым необходимо продолжать работать в штатном режиме, даже несмотря на стихийные катастрофы.

2.5 Виды защищаемой информации

Любая организация, одним из ресурсов которой является информация, может иметь частные модели угроз информационной безопасности. Они будут порождаться внутренней структурой данной компании, которая формируется на основе подразделений, сотрудников, технических средств, экономических связей, внутренних социальных отношений и т. д. Поэтому общая масса внутренней и внешней информации, обслуживающая ее система и технологии, специалисты и персонал составляют информационно-технологический ресурс.

Так, для любой коммерческой компании информация может подразделяться на: служебную, конфиденциальную, секретную, коммерческую тайну. Хотя для любой негосударственной организации информация подразделяется на достаточно простые классы. Но даже в упрощенном случае все должно быть строго классифицировано и закреплено соответствующими нормативными актами, чтобы можно было построить правильную и, главное, рабочую систему защиты информации.

Грамотная организация системы защиты информации представляет собой сложный процесс, а зачастую и дорогостоящий. Для выполнения данной задачи необходимо провести детальную инвентаризацию всех ресурсов с информацией, разбить все данные на категории, выполнить классификацию моделей угроз информационной безопасности, спроектировать и разработать систему защиты, включая все регламентирующие документы, подобрать аппаратно-программные средства, достаточные для реализации рабочего процесса на должном уровне с соблюдением защиты информации и пр.

Организация защиты информации требует компетентных специалистов в этой сфере и грамотного руководства компании, которое будет готово соблюдать требуемые нормы безопасности и выделять ресурсы на их поддержку.

Глава 3 Методика определения актуальных угроз безопасности персональных данных при их обработке

Для обработки личных данных существует специальная программа – Информационная система персональных данных. В связи с тем, что в последнее время участились угрозы безопасности персональных данных в информационных системах, на операторов, которые работают с личными сведениями о гражданах, накладываются обязательства по обеспечению конфиденциальности этой информации.

Все сведения, обрабатываемые специалистами, заносятся не только в компьютерные носители, но и в специальные ведомости. Для защиты всех зафиксированных сведений от посягательств на конфиденциальные данные, а также для того, чтобы своевременно отреагировать на реальные и потенциальные угрозы со стороны третьих лиц, российским Правительством был разработан специальный нормативный документ. Он получил название «Методика определения актуальных угроз безопасности персональных данных»^[7].

Одним из основных понятий в документе является «безопасность». Согласно нормам соответствующего федерального закона № 390 от 28 декабря 2010 года, безопасность – это состояние, когда важные для жизни и здоровья интересы и права человека, общества и всего государства защищены от разных типов угроз.

Положения этого нормативного правового акта определяют также, что к объектам безопасности относятся люди, их права, интересы и свободы, сохранение и развитие общества, конституционные основы государства.

Так как личные сведения неотделимы от человека, угрозы безопасности персональных данных также являются видами посягательств на интересы граждан и страны в целом. Поэтому защита связанной с личностью информацией косвенно закреплена в указанном законе и является одним из стратегических направлений развития общества.

В общем смысле, угрозами считается совокупность факторов и условий, создающих опасность важным для жизни интересам граждан, общества и всего государства, и снижающих степень безопасности.

В разработанной Правительством методике определения актуальных угроз безопасности персональных данных дано соответствующее определение в отношении сведений о субъектах. Угрозы безопасности информации личного характера – перечень факторов и условий, которые создают опасность намеренного или случайного несанкционированного характера к данным, относящимся к категории персональных.