• служащих, занимающихся эксплуатацией здания, работников отдела кадров, охрану и других сотрудников, которые могут предоставить информацию о внешних опасностях и проблемах, связанных с окружающей средой.
В группу анализа опасных ситуаций следует включить (4):
• персонал сопровождения сети, на который возлагается ответственность за предоставление информации об аппаратном и программном обеспечении, а также о применяемых процедурах по ограничению прав доступа и замене (смене) паролей.
В группу анализа опасных ситуаций следует включить (5):
• представителей руководства, ответственных за обеспечение защиты ценностей организации.
Неформальная модель нарушителя.
Нарушитель – это лицо, предпринявшее попытку выполнения запрещенных операций (действий) либо по ошибке и незнанию, либо осознанно со злым умыслом (из корыстных интересов) или без такового.
Ради игры или удовольствия, с целью самоутверждения и т.п. с использованием для этого различных возможностей, методов и средств. Злоумышленником будем называть нарушителя, намеренно идущего на нарушение из корыстных побуждений.
Неформальная модель нарушителя отражает его практические и теоретические возможности, априорные знания, время и место действия и т.п. Для достижения своих целей нарушитель должен приложить усилия, затратить определенные ресурсы. Исследовав причины нарушений, можно либо повлиять на эти причины (если возможно), либо точнее определить требования к системе защиты от данного вида нарушений или преступлений. В каждом конкретном случае исходя из существующей технологии обработки информации может быть определена модель нарушителя, которая должна быть адекватна реальному нарушителю для данной ИС.
При разработке модели нарушителя формируются:
• предположения о категориях лиц, к которым может принадлежать нарушитель.
А также -
• предположения о мотивах (целях) нарушителя;
• предположения о квалификации нарушителя и его технической оснащенности;
• ограничения и предположения о характере возможных действий нарушителей.
По отношению к ИС нарушители бывают внутренними (из числа персонала) или внешними (посторонние лица).
Внутренними нарушителями могут быть (1):
• пользователи (операторы) системы;
• персонал, обслуживающий технические средства (инженеры, техники).
Внутренними нарушителями могут быть (2):
• сотрудники отделов разработки и сопровождения ПО (прикладные и системные программисты).
А также -
• технический персонал, обслуживающий здания (уборщики, электрики, сантехники и другие сотрудники, имеющие доступ в здания и помещения, где расположены компоненты ИС);
• сотрудники службы безопасности ИС;
• руководители различных уровней должностной иерархии.
Посторонними нарушителями могут быть (1):
• клиенты;
• случайные посетители;
• представители предприятий, обеспечивающих энерго-, водо- и теплоснабжение организации.
Посторонними нарушителями могут быть (2):
• представители конкурирующих организаций (иностранных спецслужб) или лица, действующие по их заданию;
• любые лица за пределами контролируемой территории.
Можно выделить три основных мотива нарушений безопасности ИС со стороны пользователей: безответственность, самоутверждение и корыстный интерес.
При нарушениях, вызванных безответственностью, пользователь целенаправленно или случайно производит какие-либо разрушающие действия, не связанные, тем не менее, со злым умыслом. В большинстве случаев это следствие некомпетентности или небрежности.
Некоторые пользователи считают получение доступа к системным наборам данных крупным успехом, затевая своего рода игру “пользователь – против системы” ради самоутверждения либо в собственных глазах, либо в глазах коллег.
Нарушение безопасности ИС может быть вызвано и корыстным интересом пользователя системы. В этом случае он будет целенаправленно пытаться преодолеть систему защиты для доступа к хранимой, передаваемой и обрабатываемой в ИС информации. Даже если ИС имеет средства, чрезвычайно усложняющие проникновение, полностью защитить ее от этого практически невозможно.
1.5 Анализ рисков и управление ими
Наряду с анализом потенциально возможных угроз на ранних этапах проектирования ИС желательно провести и анализ рисков от реализации этих угроз, так как этот анализ позволяет определить наиболее значимые угрозы из всех возможных угроз и средства защиты от них.
Процесс анализа рисков включает (1):
• оценку возможных потерь из-за успешно проведенных атак на безопасность ИС;
• оценку вероятности обнаружения уязвимых мест системы, влияющей на оценку возможных потерь.
Процесс анализа рисков включает (2):
• выбор оптимальных по затратам мер и средств защиты, которые сокращают риск до приемлемого уровня.
С целью повышения эффективности анализа рисков он проводится по различным направлениям:
• для объектов ИС;
• для процессов, процедур и программ обработки информации;
• для каналов связи;
• для побочных электромагнитных излучений;
• для механизмов управления системой защиты.
Анализ рисков предполагает изучение и систематизацию угроз защиты информации (ЗИ), а также определение требований к средствам защиты.
Изучение и систематизация угроз ЗИ предусматривает следующие этапы:
• выбор объектов ИС и информационных ресурсов, для которых будет проведен анализ;
• разработка методологии оценки риска;
• анализ угроз и определение слабых мест в защите;
• идентификация угроз и формирование списка угроз;
• формирование детального списка угроз и матрицы угрозы/элементы ИС или информационные ресурсы.
Для построения надежной защиты необходимо выявить возможные угрозы безопасности информации, оценить их последствия, определить необходимые меры и средства защиты и оценить их эффективность.
Разнообразие потенциальных угроз столь велико, что все равно не позволяет предусмотреть каждую из них, поэтому анализируемые виды уместно выбирать с позиций здравого смысла, одновременно выявляя не только собственно угрозы, вероятность их осуществления, масштаб потенциального ущерба, но и их источники.
Оценка рисков производится с помощью различных инструментальных средств, а также методов моделирования процессов защиты информации. На основании результатов анализа выявляются наиболее высокие риски, переводящие потенциальную угрозу в разряд реально опасных и, следовательно, требующие принятия дополнительных защитных мер.
Когда намеченные меры приняты, необходимо проверить их действенность, например, произвести автономное и комплексное тестирование программно-технического механизма защиты. Если проверка показывает, что в результате проделанной работы остаточные риски снизились до приемлемого уровня, то можно намечать дату ближайшей переоценки, если нет – следует проанализировать допущенные ошибки и провести повторную оценку рисков.
При разработке методологии оценки риска используются методы системного анализа, в результате получаются оценки предельно допустимого и реального риска осуществления угроз в течение некоторого времени.
В идеале для каждой из угроз должно быть получено значение вероятности ее осуществления в течение некоторого времени. Это поможет соотнести оценку возможного ущерба с затратами на защиту. На практике для большинства угроз невозможно получить достоверные данные о вероятности реализации угрозы и приходится ограничиваться качественными оценками.
Оценка ущерба, который может нанести деятельности организации реализация угроз безопасности, производится с учетом возможных последствий нарушения конфиденциальности, целостности и доступности информации.
Расходы на систему защиты информации необходимо соотнести с ценностью защищаемой информации и других информационных ресурсов, которые подвергаются риску, а также с ущербом, который может быть нанесен организации в результате реализации угроз. По завершении анализа уточняются допустимые остаточные риски и расходы по мероприятиям, связанным с защитой информации.
По результатам проведенной работы составляется документ, содержащий:
• перечни угроз ЗИ, оценки рисков и рекомендации по снижению вероятности их возникновения;
• защитные меры, необходимые для нейтрализации угроз;
• анализ стоимость/эффективность, на основании которого делаются выводы о допустимых уровнях остаточного риска и целесообразности применения конкретных вариантов защиты.
Управление риском – процесс, состоящий в последовательном выполнении трех частей: определение риска в незащищенной ИС, применение средств защиты для сокращения риска и оценка остаточного риска.
Управление риском можно детализировать разбиением его на семь этапов.
Этапы управления риском (1):
1. Определение степени детализации, границ анализа и методологии.
2. Идентификация и оценка ценности ресурсов ИС.
Этапы управления риском (2):
3. Идентификация угроз и определение вероятности.
4. Измерение риска.
5. Выбор соответствующих мер и средств защиты.
Этапы управления риском (3):
6. Внедрение и тестирование средств защиты.
7. Одобрение остаточного риска.
Конечной целью управления риском является минимизация риска. Цель минимизации риска состоит в том, чтобы применить эффективные меры защиты таким образом, чтобы остаточный риск в ИС стал приемлем. Минимизация риска состоит из трех частей: определения тех областей, где риск недопустимо велик; выбора наиболее эффективных средств защиты; оценивания мер защиты и определения, приемлем ли остаточный риск в ИС.
Дадим краткую характеристику этапам управления риском.
Этап 1. Определение степени детализации
На этом этапе составляется перечень того, какие информационные и технические ресурсы из состава ИС и с какой детальностью должны рассматриваться в процессе управления риском. Перечень может включать ИС в целом или ее части, такие, как функции коммуникаций данных, функции сервера, приложения и т.д.