27. Методология разработки частной модели угроз и оценки рисков хозяйственной деятельности предприятия.

Разработка частной модели предполагает:

• Определение исходных данных для построения частной модели угроз.

• Выявление угроз.

• Составление перечня источников угроз.

• Формирование перечня актуальных угроз.

Актуальность угрозы безопасности определяется на основе возможности реализации угрозы и показателя опасности угрозы. При этом для каждой угрозы вычисляется возможность реализации угрозы (Y):

Y = (Y1 + Y2)/20,

где

Y1 – числовой коэффициент, определяющий исходную степень защищенности;

Y2 – числовой коэффициент, определяющий вероятность возникновения угрозы;

20 – нормирующий коэффициент.

Коэффициент Y1 определяется, исходя из набора технических и эксплуатационных характеристик, общих для всех ИС. Коэффициент Y2 определяется на основе экспертной (субъективной) оценки вероятности возникновения угрозы.

Во многих случаях частная модель угроз разрабатывается после проведения аудита информационной безопасности. В этом случае имеется дополнительная информация, полученная в ходе аудита, которая может быть использована для уточнения частной модели угроз.

Частная модель включает в себя Исходные данные об ИС, Классификация ИС, Классификация угроз безопасности персональных данных в ИС, Угрозы утечки в ИС по техническим каналам, Угрозы несанкционированного доступа к информации ИС и др. Рассчитывается вероятность угрозы, определяется опасность угроз, коэффициент реализуемости угрозы и др. На основе этих данных определяется, какие угрозы наиболее опасные для данной ИС.

ОЦЕНКА РИСКОВ

Процессы оценки и управления рисками служат фундаментом для построения системы управления информационной безопасностью организации. Эффективность этих процессов определяется точностью и полнотой анализа и оценки факторов риска, а также эффективностью используемых в организации механизмов принятия управленческих решений и контроля их исполнения.

Процедура оценки рисков включает в себя:

• Настойка методологии оценки под конкретную организацию

• Выбор шкалы оценки рисков

• Оценка стоимости ресурсов, вероятности угроз и величины уязвимостей

• Определение допустимого уровня остаточных рисков

• Оценивание рисков

• Подготовка отчета по результатам оценки рисков

• Разработка реестра информационных рисков

• Принятие решений по обработке рисков

• Разработка Плана обработки рисков

• Разработка Декларации о применимости

• Согласование и презентация отчетных документов

28. Классификация подсистем комплексной системы защиты информации на предприятии. Краткая характеристика подсистем. Назначение, состав.

КСЗИ состоит из систем:

• Инженерно-технической защиты информации

• Организационно-правовой защиты информации

• Программно-аппаратной защиты информации

Инженерно-техническая включается в себя следующие подсистемы:

Подсистема физической защиты источников информации включает силы и средства, предотвращающие проникновение к источникам защищаемой информации злоумышленника и стихийных сил природы, прежде всего пожара. Ее основу составляют комплексы инженерной защиты источников информации и их технической охраны. Инженерные конструкции создают преграды, которые задерживают источники угрозы на пути их движения (распространения) к источникам информации.

Так как физическая защита источников информации не отличается от физической защиты других материальных ценностей и людей, то эта подсистема имеет универсальный характер и создается там, где возникает потребность в защите любых материальных ценностей.

Подсистема защиты информации от утечки является специфичным образованием, необходимым для защиты информации, и предназначена для выявления технических каналов утечки информации и противодействия ее утечке по этим каналам.

Подсистема защиты информации от наблюдения должена обеспечивать:

• маскировку объектов наблюдения в видимом, инфракрасном и радиодиапазонах электромагнитных волн, а также объектов гидроакустического наблюдения;

• формирование и «внедрение» ложной информации об объектах наблюдения;

• уменьшение в случае необходимости прозрачности воздушной и водной среды;

• ослепление и засветку средств наблюдения в оптическом диапазоне длин волн;

• создание помех средствам гидроакустического и радиолокационного наблюдения.

Подсистема защиты информации от подслушивания включает средства, предотвращающие утечку акустической информации в простом акустическом канале утечки информации. Так как структурное скрытие речевой информации возможно в исключительных случаях (кодирование речевых сигналов), то основу средств рассматриваемого комплекса составляют средства энергетического скрытия. Они должны обеспечить:

звукоизоляцию и звукопоглощение речевой информации в помещениях;

звукоизоляцию акустических сигналов работающих механизмов, по признакам которых можно выявить сведения, содержащие государственную или коммерческую тайну;

акустическое зашумление помещения, в котором ведутся разговоры по закрытой тематике.

информации, содержащейся в радио- и электрических функциональных сигналах. С этой целью подсистема должна иметь средства, обеспечивающие:

структурное скрытие сигналов и содержащейся в них информации;

подавление до допустимых значений уровней опасных сигналов, распространяющихся по направляющим линиям связи (кабелям, волноводам);

экранирование электрических, магнитных и электромагнитных полей с защищаемой информацией;

линейное и пространственное зашумление опасных радио- и электрических сигналов.

Подсистема защиты предотвращения утечки вещественных носителей должны обеспечивать:

уничтожение информации, содержащейся в выбрасываемых или подлежащих дальнейшей переработке отходах;

уничтожение неиспользуемых вещественных носителей;

захоронение в специальных могильниках вещественных носителей, которые не могут быть уничтожены.

В систему программно-аппаратной защиты входят следующие подсистемы:

4.1.1 Подсистема управления доступом

4.1.2 Подсистема регистрации и учета

4.1.3 Подсистема обеспечения целостности

5.1.3 Криптографическая подсистема

5.1.5 Подсистема антивирусной защиты