15

http://www.citforum.ru/security/articles/risk_management/1.shtml

Управление рисками: обзор употребительных подходов

Наиболее распространенные угрозы

Угроза — это потенциальная возможность нарушить информационную безопасность.

Атака - Попытка реализации угрозы

Злоумышленник тот, кто предпринимает такую попытку, —.

Потенциальные злоумышленники называются источниками угрозы.

Чаще всего угроза возникает из-за уязвимостей в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении.

Окно опасности - Промежуток времени от момента, когда появляется возможность использовать уязвимость, и до того, когда она ликвидируется,

Если речь идет об ошибках в ПО, то окно опасности образуется с появлением средств использования ошибки и ликвидируется при наложении "заплат", ее исправляющих. Для большинства уязвимостей окно опасности существует довольно долго (несколько дней, иногда — недели). За это время должны произойти следующие события:

• появляется информация о средствах использования уязвимости;

• выпускаются соответствующие "заплаты";

• "заплаты" устанавливаются в защищаемой информационной системе.

Новые уязвимости и средства их использования появляются постоянно. Это означает, что,

во-первых, почти всегда существуют окна опасности, и

во-вторых, отслеживание таких окон должно производиться непрерывно, а выпуск и наложение "заплат" — как можно более оперативно.

Некоторые угрозы существуют в силу самой природы современных ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы происходит по причине зависимости аппаратного обеспечения информационных систем от электропитания.

Рассмотрим отношение к угрозам с точки зрения типичной (по нашему мнению) организации. Их можно классифицировать по нескольким критериям:

• аспект информационной безопасности (доступность, целостность, конфиденциальность), против которого они (угрозы) направлены в первую очередь;

• компонент информационных систем, на который угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);

• способ осуществления угроз (случайные/преднамеренные действия природного/техногенного характера);

• расположение источника угроз (внутри/вне рассматриваемой ИС).

В качестве основного критерия мы будем использовать первый (аспект ИБ), привлекая при необходимости остальные.

Наиболее распространенные угрозы доступности

D1) Самыми частыми и опасными (с точки зрения размера ущерба) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы (неправильно введенные данные или ошибка в программе, вызвавшие крах системы), иногда они создают уязвимости, которыми могут воспользоваться злоумышленники (таковы обычно ошибки администрирования). По некоторым данным, до 65% потерь — следствие непреднамеренных ошибок. Пожары и наводнения можно считать пустяками по сравнению с безграмотностью и неорганизованностью. Очевидно, самый радикальный способ борьбы с непреднамеренными ошибками — это максимальная автоматизация и строгий контроль за правильностью совершаемых действий.

Другие угрозы доступности классифицируем по компонентам ИС, на которые нацелены угрозы:

• D2 отказ пользователей;

• D3 внутренний отказ информационной системы;

• D4 отказ поддерживающей инфраструктуры.

• D5 программные атаки на доступность

Обычно применительно к пользователям рассматриваются следующие угрозы:

• D21 нежелание работать с информационной системой (чаще всего проявляется при необходимости осваивать новое и при расхождении между запросами пользователей и фактическими возможностями и техническими характеристиками);

• D22 невозможность работать с системой, так как нет соответствующей подготовки (недостаток общей компьютерной грамотности и культуры, неумение интерпретировать диагностические сообщения, неумение работать с документацией и т.п.);

• D23 невозможность работать с системой из-за отсутствия технической поддержки (неполнота документации, невозможность получения справочной информации и т.п.).

Основными источниками внутренних отказов являются:

• D31 отступление (случайное или умышленное) от установленных правил эксплуатации;

• D32 выход системы из штатного режима эксплуатации в силу случайных или преднамеренных действий пользователей или обслуживающего персонала (превышение расчетного числа запросов, чрезмерный объем обрабатываемой информации и т.п.);

• D33 ошибки при (пере)конфигурировании системы;

• D34 отказы программного и аппаратного обеспечения;

• D35 разрушение данных;

• D36 разрушение или повреждение аппаратуры.

По отношению к поддерживающей инфраструктуре рекомендуется рассматривать следующие угрозы D4:

• D41 нарушение работы (случайное или умышленное) систем связи, электропитания, водо- и/или теплоснабжения, кондиционирования;

• D42 разрушение или повреждение помещений;

• D43 невозможность или нежелание выполнения обслуживающим персоналом и/или пользователями своих обязанностей (гражданские беспорядки, аварии на транспорте, террористический акт или его угроза, забастовка и т.п.).

Весьма опасны так называемые обиженные сотрудники — нынешние и бывшие. Как правило, их действиями руководит желание нанести вред организации-обидчику, например: повредить оборудование; встроить логическую "бомбу", которая со временем разрушит программы и/или данные; удалить данные и т.д. Обиженные сотрудники, даже бывшие, знакомы с порядками в организации и способны вредить весьма эффективно. Необходимо следить за тем, чтобы при увольнении сотрудника его права доступа (логического и физического) к информационным ресурсам аннулировались.

Опасны, разумеется, стихийные бедствия и события, воспринимаемые как стихийные бедствия — пожары, наводнения, землетрясения, ураганы. По статистике, на долю огня, воды и аналогичных "злоумышленников" (среди которых самый опасный — низкое качество электропитания и его перебои) приходится 13% потерь, нанесенных информационным системам.