Анализ защищенности объекта защиты информации

Количественный анализ рисков
Рассмотрим методику на примере веб-сервера организации, который используется для продажи определенного товара. Количественный разовый ущерб от выхода сервера из строя можно оценить как произведение среднего чека покупки на среднее число обращений за определенный временной интервал, равное времени простоя сервера. Допустим, стоимость разового ущерба от прямого выхода сервера из строя составит 100 тысяч рублей.
Теперь следует оценить экспертным путем, как часто может возникать такая ситуация (с учетом интенсивности эксплуатации, качества электропитания и т д.). Например, с учетом мнения экспертов и статистической информации, мы понимаем, что сервер может выходить из строя до 2 раз в год.
Умножаем две эти величины, получаем, что среднегодовой ущерб от реализации угрозы прямого выхода сервера из строя составляет 200 тысяч рублей в год.

Количественный анализ рисков
Эти расчеты можно использовать при обосновании выбора защитных мер. Например, внедрение системы бесперебойного питания и системы резервного копирования общей стоимостью 100 тысяч рублей в год позволит минимизировать риск выхода сервера из строя и будет вполне эффективным решением.

Угрозы безопасности ИС

Угрозы безопасности ИС

Угрозы безопасности ИС

Оценка риска угроз

Оценка риска угроз

Оценка риска угроз
Классы каналов несанкционированного получения информации
Рассмотрим относительно полное множество каналов несанкционированного получения информации, сформированного на основе такого показателя, как степень взаимодействия злоумышленника с элементами объекта обработки информации и самой информацией.
К первому классу относятся каналы от источника информации при НСД к нему.
Хищение носителей информации.
Копирование информации с носителей (материально-вещественных, магнитных и т. д.).
Подслушивание разговоров (в том числе аудиозапись).
Установка закладных устройств в помещение и съем информации с их помощью.
Выведывание информации обслуживающего персонала на объекте.
Фотографирование или видеосъемка носителей информации внутри помещения.

Классы каналов несанкционированного получения информации
Ко второму классу относятся каналы со средств обработки информации при НСД к ним.
Снятие информации с устройств электронной памяти.
Установка закладных устройств в СОИ.
Ввод программных продуктов, позволяющих злоумышленнику получать информацию.
Копирование информации с технических устройств отображения (фотографирование с мониторов и др.).

Классы каналов несанкционированного получения информации
К третьему классу относятся каналы от источника информации без
Получение информации по акустическим каналам (в системах вентиляции, теплоснабжения, а также с помощью направленных микрофонов).
Получение информации по виброакустическим каналам (с использованием акустических датчиков, лазерных устройств).
Использование технических средств оптической разведки (биноклей, подзорных труб и т. д.).
Использование технических средств оптико-электронной разведки (внешних телекамер, приборов ночного видения и т. д.).
Осмотр отходов и мусора.
Выведывание информации у обслуживающего персонала за пределами объекта.
Изучение выходящей за пределы объекта открытой информации (публикаций, рекламных проспектов и т. д.).

Классы каналов несанкционированного получения информации
К четвертому классу относятся каналы со средств обработки информации без НСД к ним.
Электромагнитные излучения СОИ (паразитные электромагнитные излучения (ПЭМИ), паразитная генерация усилительных каскадов, паразитная модуляция высокочастотных генераторов низкочастотным сигналом, содержащим конфиденциальную информацию).
Электромагнитные излучения линий связи.
Подключения к линиям связи.
Снятие наводок электрических сигналов с линий связи.
Снятие наводок с системы питания.
Снятие наводок с системы заземления.
Снятие наводок с системы теплоснабжения.
Использование высокочастотного навязывания.
Снятие с линий, выходящих за пределы объекта, сигналов, образованных на технических средствах за счет акустоэлектрических преобразований.
Снятие излучений оптоволоконных линий связи.
Подключение к базам данных и ПЭВМ по компьютерным сетям.

Причины нарушения целостности
информации

Причины нарушения целостности
информации

Оценка риска угроз
Цель: Формирование умений и навыков определения угроз и защищённости объектов информации
Для выбранного определенного объекта защиты информации (номер варианта соответствует номеру студента по списку) необходимо описать объект защиты, провести анализ защищенности объекта защиты информации по следующим разделам:
1 виды угроз;
2 характер происхождения угроз;
3 классы каналов несанкционированного получения информации;
4 источники появления угроз;
5 причины нарушения целостности информации;

Оценка риска угроз
Наименование объекта защиты информации:
1) Одиночно стоящий компьютер в бухгалтерии. 2) Сервер в бухгалтерии.
3) Почтовый сервер.
4) Веб-сервер.
5) Компьютерная сеть материальной группы.
6) Одноранговая локальная сеть без выхода в Интернет.
7) Одноранговая локальная сеть с выходом в Интернет.
8) Сеть с выделенным сервером без выхода в Интернет.
9) Сеть с выделенным сервером с выхода в Интернет.
10) Телефонная база данных (содержащая и информацию ограниченного пользования) в твердой копии и на электронных носителях.

Оценка риска угроз
Наименование объекта защиты информации:
11) Телефонная сеть.
12) Средства телекоммуникации (радиотелефоны, мобильные телефоны).
13) Банковские операции (внесение денег на счет и снятие).
14) Операции с банковскими пластиковыми карточками.
15) Компьютер, хранящий конфиденциальную информацию о сотрудниках предприятия.
16) Компьютер, хранящий конфиденциальную информацию о разработках предприятия.
17) Материалы для служебного пользования на твердых носителях и на электронных носителях в производстве.
18) Материалы для служебного пользования на твердых носителях и на электронных носителях на закрытом предприятии.

Анализ защищенности объекта защиты информации
Наименование объекта защиты информации:
19) Материалы для служебного пользования на твердых носителях в архиве.
20) Материалы для служебного пользования на твердых носителях и на электронных носителях в налоговой инспекции.
21) Комната для переговоров по сделкам на охраняемой территории.
22) Комната для переговоров по сделкам на неохраняемой территории.
23) Сведения для средств массовой информации, цензура на различных носителях информации (твердая копия, фотографии, электронные носители и др.).

Анализ защищенности объекта защиты информации

Оценка риска угроз

Оценка риска угроз

Анализ защищенности объекта защиты информации

Оценка риска угроз

Оценка риска угроз

Оценка риска угроз

Оценка риска угроз