42. Определение объектов защиты в ксзи.
В качестве теоретических объектов защиты информации рассматриваются:
Документы;
Промышленные образцы, технологии, программные продукты, технические средства обработки информации;
Люди (персонал;
Отходы производства;
Публикации.
С практической стороны указанные объекты (носители) защиты информации дифференцируются:
По их предназначению;
По степени их важности (категориям).
По предназначению выделяют 3 основных вида объектов защита КСЗИ:
Выделенные помещения (защищаемые помещения);
Объекты технических средств передачи информации;
Объекты ЭВТ.
При этом следует выделять специфические условия размещения объектов КСЗИ:
Особые условия. Такими условиями называют те условия, при которых указанные объекты защиты располагаются за пределами России или на удалении менее 100 метров от зданий посольств, консульств, представительств иностранных фирм и т.д.
Обычные условия. Все другие варианты размещения объектов защиты.
В зависимости от сочетания уровней конфиденциальности информации и характера условий размещений определяют категории объектов КСЗИ
Категорирование объектов проводится внутренней комиссией, назначаемой руководителем предприятия и завершается составлением акта категорирования на каждый объект и закрепляется приказом. Каждый рассмотренный объект защищается по типовым рубежам (6-уровневая модель).
С позиции физической защиты все указанные объекты КСЗИ по критерию стоимости материальных ценностей (информации) имеют так называемую, «категорию важности» объектов:
Стоимость (ценность) информации |
Категория важности объекта |
>= 10 000 руб |
Простой объект |
>= 100 000 руб |
Важный объект |
>= 1 000 000 руб |
Особо важный |
>= 10 000 000 руб |
Особо важный с повышенной значимостью |
Взаимосвязь рассмотренных категорий важности и защиты объектов (информации), а также с потребным количеством рубежей защиты представлена следующей таблицей:
Категория важности |
Категория защиты |
Количество рубежей защиты |
Простой объект (П) |
4 |
1 |
Важный объект (В) |
3 |
2 |
Особо важный объект (ОВ) |
2 |
3 |
Особо важный, повышенной значимости (ОВЗ) |
1 |
>= 4 |
43. Анализ и оценка угроз безопасности информации в ксзи.
Угроза — это потенциальные или реальные действия, приводящие к моральному или материальному ущербу.
Угрозы информации выражаются в нарушении ее целостности, конфиденциальности и доступности.
Угрозы целостности заключаются в несанкционированной модификации, подмене и уничтожении информации.
Угрозы конфиденциальности заключаются в несанкционированном ознакомлении с информацией.
Угрозы доступности заключаются в нарушении своевременного и надежного доступа к информации или КС.
Каждая угроза влечет за собой определенный ущерб – моральный или материальный, а защита и противодействие угрозе призваны снизить его величину, в идеале – полностью, реально – значительно или хотя бы частично. Но и это удается далеко не всегда. С учетом этого угрозы могут быть классифицированы следующим образом:
– по величине принесенного ущерба:
предельный, после которого фирма может стать банкротом;
значительный, но не приводящий к банкротству;
незначительный, который фирма за какое-то время может компенсировать.
– по вероятности возникновения:
весьма вероятная угроза;
вероятная угроза;
маловероятная угроза.
– по причинам появления:
стихийные бедствия;
преднамеренные действия.
– по характеру нанесенного ущерба:
материальный;
моральный;
– по характеру воздействия:
активные;
пассивные.
– по отношению к объекту:
внутренние (82% угроз совершается собственными сотрудниками фирмы при их прямом или опосредованном участии, 1% угроз совершается случайными лицами);
внешние (17% угроз совершается извне – внешние угрозы).
Источниками внешних угроз являются: недобросовестные конкуренты; преступные группировки и формирования; отдельные лица и организации административно-управленческого аппарата.
Источниками внутренних угроз могут быть: администрация предприятия; персонал; технические средства обеспечения производственной и трудовой деятельности.
ИЛИ
Анализ угроз безопасности является одним из обязательных условий построения КСЗИ. По
результатам проведенного анализа строится модель угроз безопасности информации в КС, которая
содержит систематизированные данные о случайных и преднамеренных угрозах безопасности
информации в конкретной КС. Систематизация данных модели предполагает наличие сведений
обо всех возможных угрозах, их опасности, временных рамках действия, вероятности реализации.
Часто модель угроз рассматривается как композиция модели злоумышленника и модели
случайных угроз. Модели представляются в виде таблиц, графов или на вербальном уровне.
При построении модели злоумышленника используется два подхода:
модель ориентируется только на высококвалифицированного злоумышленника-профессионала, оснащенного всем необходимым и имеющего легальный доступ на всехрубежах защиты;
модель учитывает квалификацию злоумышленника, его оснащенность (возможности) и официальный статус в КС.
Первый подход проще реализуется и позволяет определить верхнюю границу
преднамеренных угроз безопасности информации. Второй подход отличается гибкостью и
позволяет учитывать особенности КС в полной мере. Градация злоумышленников по их
квалификации может быть различной. Например, может быть выделено три класса
злоумышленников:
1. высококвалифицированный злоумышленник-профессионал;
2. квалифицированный злоумышленник-непрофессионал;
3. неквалифицированный злоумышленник-непрофессионал.
Класс злоумышленника, его оснащенность и статус на объекте КС определяют
возможности злоумышленника по несанкционированному доступу к ресурсам КС. Угрозы, связанные с непреднамеренными действиями, хорошо изучены, и большая часть их может быть формализована. Сюда следует отнести угрозы безопасности, которые связаны с конечной надежностью технических систем. Угрозы, порождаемые стихией или человеком, формализовать сложнее. Но с другой стороны, по ним накоплен большой объем статистических данных. На основании этих данных можно прогнозировать проявление угроз этого класса.
Модель злоумышленника и модель случайных угроз позволяют получить полный спектр угроз и их характеристик. В совокупности с исходными данными, полученными в результате анализа информации, особенностей архитектуры проектируемой КС, модели угроз безопасности информации позволяют получить исходные данные для построения модели КСЗИ.