2.2. Построение модели угроз и определение рисков возникновения инцидентов нарушения целостности экономической информации инфраструктуры ЗАО «Кукушкинд & Co.»
Прежде чем рассмотреть угрозы уязвимости корпоративной информационной системы введём несколько определений в соответствии с национальным стандартом Российской Федерации - ГОСТ Р50922-2006.
Безопасность информации (данных) - состояние защищенности информации, при котором обеспечены ее конфиденциальность, доступность и целостность; защита информации (ЗИ) - деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.
К объектам защиты информации отнесем: охраняемую территорию, здание (сооружение), выделенное помещение, информацию и (или) информационные ресурсы объекта информатизации. Собственниками информации бывают: государство, юридическое лицо, группа физических лиц, отдельное физическое лицо. Заинтересованными субъектами получения защищаемой информации могут быть: государство, юридическое лицо, группа физических лиц, отдельное физическое лицо.
Результатом защиты информации должно быть предотвращение ущерба владельцу информации из-за возможной утечки информации и (или) несанкционированного и непреднамеренного доступа к информации.
Разграничим исходные понятия информационной безопасности:
- угроза безопасности информации - совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации;
- источник угрозы безопасности информации - субъект (физ. лицо, материальный объект или физическое явление), являющийся непосредственной причиной возникновения угрозы безопасности информации;
- уязвимость информационной системы, брешь - свойство информационной системы, обусловливающее возможность реализации угроз безопасности обрабатываемой в ней информации (если уязвимость соответствует угрозе, то существует риск потери информации).
Корпоративная информационная система, как и любая информационная система подвержена угрозам безопасности. Рассмотрим эти угрозы подробнее [3-5].
- нарушение конфиденциальности информации в корпоративных информационных системах
- нарушение целостности информации в корпоративных информационных системах.
- отказ в обслуживании корпоративных информационных системах.
Угрозы могут быть классифицированы по нескольким параметрам [15]:
1. по величине принесенного ущерба:
- максимальный, после которого фирма может стать банкротом;
- значительный, но он не приводит к банкротству;
- незначительный, тот который фирма может быстро компенсировать.
2. по вероятности возникновения:
- весьма вероятная угроза;
- вероятная угроза;
- маловероятная угроза.
3. по причинам появления:
- стихийные бедствия;
- преднамеренные действия.
4. по характеру нанесенного ущерба:
- материальный;
- моральный;
5. по характеру воздействия:
- активные;
- пассивные.
6. по отношению к объекту:
- внутренние;
- внешние.
Источниками внешних угроз могут быть:
1. недобросовестные конкуренты;
2. преступные группировки и формирования;
3. отдельные лица и организации административно-управленческого аппарата.
Источниками внутренних угроз являются:
- администрация предприятия;
- персонал;
- технические средства обеспечения производственной и трудовой деятельности.
Наиболее опасной с точки зрения размера нанесённого ущерба в большинстве случаев является именно нарушение конфиденциальности информации.
Классификация и способы реализации угроз несанкционированного доступа по каналам утечки информации.
Виды угроз [26]:
1. Человеческий фактор – это осуществление несанкционированного доступа к целевой информации, хранимой и обрабатываемой в информационной инфраструктуре:
- Кража компьютера (ноутбука);
- Кража носителей информации (дисков, флеш-карт и т.д.);
- Кража ключей доступа;
- Кражи информации;
- Модификация информации;
- Уничтожение информации;
- Вывод из строя узлов ПЭВМ, каналов связи;
- Несанкционированное отключение средств защиты.
2. Программный канал утечки.
Угрозы хищения:
- несанкционированное видоизменение или блокировка информации за счет несанкционированного доступа с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий);
- Действия вирусов и (или) других вредоносных программ.
- Не декларированные возможности системного программного обеспечения и программного обеспечения для обработки персональных данных.
- Установка программного обеспечения, не связанного с исполнением служебных обязанностей.
3. Технический канал.
Угрозы от утечки по техническим каналам:
- Угрозы утечки акустической информации;
- Угрозы утечки видовой информации;
- Угрозы утечки информации по каналам ПЭМИН.
4. Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и СЗПДн. В ее составе из-за сбоев в программном обеспечении, а также от угроз не антропогенного (сбоев аппаратуры из-за ненадежности элементов, сбоев электропитания) и стихийного (ударов молний, пожаров, наводнений и т.п.) характера:
- Утрата ключей и атрибутов доступа;
- Непреднамеренное уничтожение и (или) изменение информации сотрудниками;
- Вывод из строя аппаратно-программных средств;
- Сбой системы электропитания;
- Разглашение информации, изменение и (или) уничтожение сотрудниками у которых есть доступ к ее обработке.
4. Угрозы несанкционированного доступа по каналам связи:
- Угроза "Анализ сетевого трафика" с перехватом передаваемой из ИСПДн и принимаемой из внешних сетей информации;
- Перехват в пределах контролируемой зоны;
- Угрозы удаленного запуска приложений;
- Угрозы внедрения вирусов по сети или вредоносных программ;
Типовые способы реализации угроз несанкционированного доступа:
- осуществление несанкционированного доступа к защищаемым активам;
- использование бесконтрольно оставленных штатных средств или хищение нарушителями и утрата элементов инфраструктуры (в том числе распечаток, носителей информации);
- осуществление несанкционированного визуального просмотра защищаемой информации, отображаемой на средствах отображения (экранах мониторов);
- ознакомления с распечатываемыми документами;
- действия по анализу сетевого трафика, сканированию вычислительной сети, атаки, направленные на отказ в обслуживании;
- выявление парольной информации;
- подмена доверенного объекта сети;
- навязывание ложного маршрута сети с использованием нештатных технических и программных средств, доступных нарушителю;
- маскировка под администраторов;
- компрометация (просмотр, подбор и т.п.) парольной информации на доступ к информационным ресурсам;
- осуществление перехвата управления загрузкой ОС.
Вид ресурсов, потенциально подверженных угрозе - целевая и технологическая информация (коммерческая информация). Нарушаемые характеристики безопасности активов - конфиденциальность. Возможные последствия реализации угрозы - несанкционированное ознакомление с защищаемой информацией.
Оценка актуальности угроз и мер по противодействию несанкционированного доступа
Оценка актуальности угроз инфраструктуры осуществляется в соответствии с Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.
Она включает в себя:
- Определение уровня исходной защищенности инфраструктуры как ИСПДн.
- Определение вероятности реализации угроз в ИСПДн.
- Определение возможности реализации угрозы в ИСПДн.
- Оценку опасности угроз в ИСПДн.
- Перечень актуальных угроз безопасности ПДн в ИСПДн.
- Меры по противодействию угрозе.
Уровень исходной защищенности. Под уровнем исходной защищенности понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн (Y1).
Технические и эксплуатационные характеристики инфраструктуры, используемые при оценке защищенности:
- По территориальному размещению: локальная ИСПДн, развернутая в пределах одного здания;
- По наличию соединения с сетями общего пользования: ИСПДн, имеющая одноточечный выход в сеть общего пользования;
- По встроенным (легальным) операциям с записями баз персональных данных: чтение, поиск; запись, удаление, сортировка;
- По разграничению доступа к персональным данным: ИСПДн, к которой имеет доступ определенный перечень сотрудников организации, являющийся владельцем ИСПДн, либо субъект ПДн;
- По наличию соединений с другими базами ПДн иных ИСПДн: ИСПДн, в которой используется одна база ПДн, принадлежащая организации - владельцу данной ИСПДн;
- По уровню обобщения (обезличивания) ПДн: ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными;
- По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки: ИСПДн, не предоставляющие никакой информации.
По каждому пункту оценивается решение, в том числе на высоком, среднем и низком уровнях. Далее рассматривается отношение суммы положительных решений соответствующему среднему уровню защищенности, к общему количеству решений. Инфраструктура является типовой, для которой не менее шестидесяти процентов характеристик ИСПДн инфраструктуры, соответствуют уровню не ниже среднего. Таким образом, ИСПДн инфраструктуры имеет "средний" уровень защищенности, который ставится в соответствие числовой коэффициент Y1=5.
Определение вероятности реализации угроз в ИСПДн.
Под вероятностью реализации угрозы поднимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализации конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вероятность определяется по следующим вербальным градациям:
- маловероятно;
- низкая вероятность;
- средняя вероятность;
- высокая вероятность.
Оценка вероятности реализации угрозы безопасности рассчитывается для каждой угрозы со стороны каждой категории нарушителей: внешние, III - VII категории. При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент Y2.
Угроза безопасности ПДн считается актуальной, она имеет возможность реализации - не ниже средней, а также степень серьезности - не ниже средней (по трем градациям: низкая, средняя, высокая).
Приведем примерный перечень угроз актуальных для ЗАО «Кукушкинд & Со.» и мер по противодействию этим угрозам (таблица 2) [16].
Таблица 2. Примерный перечень актуальных угроз и мер по противодействию угрозам.
|
№
|
Угроза безопасности ПДн
|
Степень актуальности
|
Меры по противодействию угрозе
|
|
|
Технические
|
Организационные
|
|
1
|
Кража носителей информации
|
актуальная
|
|
Инструкция для персонала
|
|
2
|
Кража паролей
|
актуальная
|
|
Инструкция пользователя, учет паролей
|
|
3
|
Кражи, модификации, уничтожения информации.
|
актуальная
|
Настройка средств защиты, политика безопасности
|
Резервное копирование и инструкция пользователя
|
|
4
|
Несанкционированное отключение средств защиты
|
актуальная
|
Настройка средств защиты
|
Инструкция администратора безопасности
|
|
5
|
Действия вредоносных программ (вирусов)
|
актуальная
|
Антивирусное ПО
|
Инструкция по антивирусной защите
|
|
6
|
Недекларированные возможности ПО
|
актуальная
|
Настройка средств защиты
|
Сертификация
|
|
7
|
Установка ПО не связанного с исполнением обязанностей
|
актуальная
|
Настройка средств защиты, политика безопасности
|
Инструкция пользователя, инструкция администратора безопасности
|
|
8
|
Непреднамеренная модификация (уничтожение) информации сотрудниками
|
актуальная
|
Настройка средств защиты, политика безопасности
|
Инструкция пользователя
|
|
9
|
Выход из строя аппаратно-программных средств
|
актуальная
|
Резервное копирование
|
Охрана, Инструкция для персонала
|
|
10
|
Сбой системы электроснабжения
|
актуальная
|
Использование ИБП, резервное копирование
|
Охрана
|
|
11
|
Разглашение информации, модификация, уничтожение сотрудниками допущенными к ее обработке
|
актуальная
|
Настройка средств защиты, политика безопасности
|
Инструкция для персонала, подписка о не разглашении
|
|
12
|
Перехват в пределах контролируемой зоны
|
актуальная
|
Средства криптографической защиты, физическая зашита канала
|
Охрана
|
|
13
|
Угрозы удаленного запуска приложений.
|
актуальная
|
Межсетевой экран, Антивирусное ПО
|
|
|
14
|
Угрозы внедрения по сети вредоносного ПО
|
актуальная
|
Межсетевой экран, Антивирусное ПО
|
|
|
15
|
Угрозы утечки видовой информации
|
актуальная
|
|
Инструкция пользователя
|
|
|
|
|
|
|
|
Перечень угроз неактуальных для ЗАО «Кукушкинд & Со.» и мер по противодействию этим угрозам приведен в таблице 3.
Таблица 3. Примерный перечень неактуальных угроз и мер по противодействию угрозам.
|
№
|
Угроза безопасности ПДн
|
Степень актуальности угрозы
|
Меры по противодействию угрозе
|
|
|
Технические
|
Организационные
|
|
1
|
Кража ПЭВМ
|
неактуальная
|
|
Пропускной режим, охрана, видеонаблюдение
|
|
2
|
Вывод из строя узлов ПЭВМ, каналов связи
|
неактуальная
|
|
Пропускной режим, охрана, видеонаблюдение
|
|
3
|
Угроза "Анализ сетевого трафика" с перехватом передаваемой из ИСПДн и принимаемой из внешних сетей информации
|
неактуальная
|
Межсетевой экран
|
Инструкция пользователя, инструкция администратора безопасности
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Таким образом, можно сделать следующие выводы:
1. Неактуальность кражи компьютеров, ноутбуков. В здании существует система круглосуточной охраны, двери - закрываются на замок, вынос компьютерной техники за пределы здания возможен только по специальным пропускам.
2. Неактуальность вывода из строя узлов ПЭВМ, каналов связи. В здании существует система круглосуточной охраны, двери закрываются на замок.
3. Неактуальность действий, направленных на перехват ПЭМИН и акустической информации. Основной объем ПДн консолидировано хранится на сервере БД, сервер БД размещен в отдельном помещении внутри охраняемой зоны,
Виду того, что вероятность проникновения внешних нарушителей или физического уничтожения данных минимальна - необходимо дорабатывать программно-аппаратный комплекс средств защиты компьютерной информации. Для этого необходимо:
- разработать контекстные и DFD-диаграммы по информационной безопасности и защите от несанкционированного доступа;
- обеспечить защиту сетевого периметра и выбрать межсетевой экран;
- выбрать криптографические средства защиты от несанкционированного доступа;
- определить средства обнаружения вторжений;
- выбрать систему антивируса;
- рассмотреть возможность выбора и установки комплексных средств защиты информации от несанкционированного доступа.
|
