2. Загрози безпеці автоматизированій інформаційній системі: модель заугроз та порядок її розробки.

У НД ТЗІ 1.1-002-99 “Загальні положення щодо захисту інформації в комп’ютерних системах від несанкціонованого доступу” в підрозділі 6.1 Розділу 6 Концепція забезпечення захисту інформації зазначено, що інформація в комп’ютерній системі присутня у вигляді даних, тобто представлена в формалізованому вигляді, придатному для обробки. Під обробкою слід розуміти як власне обробку, так і введення, виведення, зберігання, передачу и т.д.

Інформація для свого існування завжди вимагає наявності носія. В якості носія може виступати поле або речовина. У деяких випадках в якості носія інформації може виступати людина. Втрата інформацією своєї цінності (порушення безпеки інформації) може статися у разі переміщення інформації або зміни фізичних властивостей носія.

НД ТЗІ 1.1-003-99 Термінологія в галузі захисту інформації в комп’ютерних системах від несанкціонованного доступу:

Загроза (threat) – будь-які обставини або події, що можуть бути причиною порушення політики безпеки властивостей інформації.

Політика безпеки інформації (information security policy) – сукупність законів, правил, обмежень, рекомендацій, інструкцій тощо, які регламентують порядок обробки інформації.

Загрози оброблюваної в автоматизованій системі інформації залежать від характеристик обчислювальної системи, навколишнього середовища, персоналу і оброблюваної інформації.

Загрози безпеки інформації можуть мати об’єктивну або суб’єктивну природу. Загрози, які мають суб’єктивну природу можуть бути випадковими або навмисними.

Спроба реалізації загрози називается атакою.

Загрози підразділяються на:

1. Ненавмисні загорози або випадкові дії, або неадекватна підтримка механізмів захисту і помилки в управленії.

А) Зовнішні

• Стихійні лиха;

• Техногенні фактори;

• Політичні чинники;

• Економічні фактори;

• Соціальні фактори;

• Розвиток інформаційних комп’ютерных технологій;

• Ін.

Б) Внутрішні

• Відмови технічного забезпечення;

• Помилки програмного забезпечення:

• Помилки операційних систем;

• Помилки спеціального програмного забезпечення;

• Помилки прикладного програмного забезпечення;

• Ін.

2. Навмисні загрози – несанкціоноване отримання інформації та несанкціонована маніпуляція даними, ресурсами і самими системами.

А) Зовнішні

• Дискредитація автоматизованої системи за допомогою впливу на персонал, партнерів, засоби масової інформації та ін.;

• Фізичний вплив на будівлі та споруди автоматизованої системи;

• Впливи на засоби обчислювальної техніки і комунікації:

• Фізичне псування;

• Крадіжка носіїв інформації і компонентів автоматизованої системи;

• Зняття електромагнітних випромінювань;

• Впровадження “жучків”;

• Ін.

• Вплив на персонал.

Б) Внутрішні

• Непрограмні загрози

• Ініціативне співробітництво персоналу;

• Навмисні помилки персоналу;

• Безладність в роботі;

• Ігнорування правил обробки інформації і використання автоматизованої системи;

• Розробка програмних зловживань.

• Навмисні помилки і зловживання користувачів автоматизованої системи;

• Ін.

• Програмні загрози

• Впровадження тактичних програмных зловживань;

• Впровадження стратегічних програмних зловживань.

З усього безлічі способів класифікації загроз найбільш прийнітною для анализу є класифікація загроз за результатами їх впливу на інформацію, тобто порушення конфіденційності, цілісності та доступності інформації.

Інформація зберігає конфіденційність, якщо дотримуються встановлені правила ознайомлення з нею.

Інформація зберігає цілісність, якщо дотримуються встановлені правила її модифікації (видалення).

Інформація зберігає доступність, якщо зберігається можливість ознайомлення з нею або її модифікація відповідно до встановлених правил у плині якого небудь певного (малого) проміжку часу.

Загрози, реалізація яких призводить до втрати інформацією яких-небудь з перерахованих властивостей, відповідно є загрозами конфіденційності, цілісності або доступності інформації.

Загрози можуть впливати на інформацію не тільки безпосередньо, але опопсредовано. Наприклад, втрата комп’ютерною системою управління може призвести до неможливості комп’ютерної системи забезпечувати захист інформації і, як наслідок, до втрати певних властивостей оброблюваної інформації.

Вихідними даними для розробки Технічного завдання на КСЗІ є функціональний профіль захищеності комп’ютерної системи від несанкціонованого доступу та вимоги до захищеності інформації від витоку технічними каналами.

Функціональний профіль захищеності інформації в конкретній автоматизованій системі може бути визначений в результаті проведення аналізу загроз та оцінки ризиків або вибраний на основі класу автоматизованої системи відповідно до НД ТЗІ 2.5-005-99 “Класифікація автоматизованих систем і стандартні функціональні класи захищеності оброблюваної інформації від несанкціонованого доступу”.

У НД ТЗІ 1.4-001-2000 Типове положення про службу захисту інформації зазначено, що Положення про Службу захисту інформації в автоматизованій системі визначає завдання, функції, штатну структуру, обов’язукі, права і відповідальність Служби захисту інформації, порядок її взаємовідносин з іншими підрозділами організації та сторонніми організаціями.

Метою створення Служби захисту інформації є організаційне забезпечення завдань керування Комплексної системою захисту інформації в автоматизованій системі і здійснення контролю за функціонуванням автоматизованої системи. На Службу захисту інформації покладається виконання робіт з визначення вимог щодо захисту інформації в автоматизованій системі, проектування, розробки та модернізації Комплексної системи захисту інформації, а також з експлуатації, обслуговування, підтримки працездатності Комплексної системи захисту інформації, контролю за станом захищеності інформації в автоматизованій системі.

Середь головних завдань Служби захисту інформації є:

Дослідження технології обробки інформації в автоматизованій системі з метою виявлення можливих каналів витоку та інших загроз безпеки інформації, формування моделей загроз, розробка політики безпеки інформації, розробка заходів, спрямованих на їх реалізацію.

На функції Служби захисту інформації в автоматизованій системі на етапі створення Комплексної системи захисту інформації покладається також:

Участь у розробці та коригуванні моделі загроз і моделі захисту інформації, політики безпеки інформації в автоматизованій системі.

До функцій Служби захисту інформації на етапі експлуатації Комплексної системи захисту інформації в тому числі відносяться:

• Розслідування випадків порушення політики безпеки, небезпечних і непередбачуваних дій, здвйснення аналізу причин, які до них призвели, ведення банку даних таких подій;

• Впровадження заходів у разі виявлення спроб несанкціонованого доступу, порушення правил експлуатації засобів захисту або інших дестабілізуючих чинників;

• Забезпечення контролю цілісності засобів захисту та швидке реагування на їх выхід з ладу або порушення режимів функціонування;

• Організація управління доступом до ресурсів автоматизованій системи (розподіл між користувачами необхідних реквізитів захисту – паролів, привілеїв, ключів и т.д.);

• Супровід та актуалізація бази даних захисту (матриці доступу, класифікація міток об’єктів, ідентифікаторів користувачів);

• Спостереження (реєстрація та аудит дій в автоматизованій системі, моніторинг дій) за функціонуванням Комплексної системи захисту інформації та її компонентів…

Технічне завдання на створення КСЗІ в автоматизованій системі є основним організаційно-технічним документом для виконання робіт по забезпеченню захисту інформації в автоматизованій системі.

Технічне завдання на створення КСЗІ в автоматизованій системі має розроблятися з урахуванням комплексного підходу до побудови КСЗІ, який предбачає об’єднання в єдину систему всіх необхідних заходів і засобів захисту від різного роду загроз безпеці інформації на всіх етапах життєвого циклу автоматизованій системи.

Загальна характеристика політики безпеки комп’ютерної системи.

В НД ТЗІ 1.1-002-99 “Загальні положення щодо захисту інформації в комп’ютерних системах від несанкціонованого доступу” в підразділі 6.2 Розділу 6 Концепція забезпечення захисту інформації зазначено, що під політикою безпеки інформації слід розуміти набір законів, правил, обмежень, рекомендацій і т.д., які рагламентують порядок обробки інформації і спрямовани на захист інформації від певних загроз.

В НД ТЗІ 1.1-003-99 “Термінологія в галузі захисту інформації в комп’ютерних системах від несанкціонованого доступу” дано роз’яснення поняття Політика безпеки інформації:

Політика безпеки інформації (information security policy) – сукупність законів, правил, обмежень, рекомендацій, а також інструкцій, які регламентують порядок обробки інформації і спрямовані на захист інформації від певних загроз. Термін “політика безпеки” може використовуватися в відношенні организації, автоматизованої системи, операційної системи, послуги, що реалізується системою (набору функцій), і т.д. Чим дрібніше об’єкт, відносно якого застосовується цей термін, тим конкретніше і формальніше становяться правила.

Політика безпеки інформації в автоматизованій системі є частиною політики безпеки організації і може містити, крім усього іншого, положення державної політики в галузі захисту інформації. Для кожної автоматизованої системи політика безпеки інформації може бути індивідуальною і може залежати від технології обробки інформації, яка реалізується, особливостей операційної системи, навколишнього фізичного середовища і від багатьох інших факторів. Більше того, одна і та же автоматизована система може реалізовувати кілька різних технологій обробки інформації. Тоді і політика безпеки інформації в такій автоматизованій системі буде складовою, і її частини, які відповідають різним технологіям, можуть істотно відрізнятися.

Політика безпеки повинна визначати ресурси автоматизованої системи, які вимагають захисту, окремо встановлювати категорії інформації, оброблюваної в автоматизованій системі. Повинні бути сформульовані основні загрози для обчислювальної системи, персоналу, інформації різних категорій і вимоги до захисту від цих загроз. Як складова частина загальної політики безпеки інформації в автоматизованій системі повинні існувати політики забезпечення конфіденційності, цілісності та доступності обробдюваної інформації. Відповідальність персоналу за виконання положень політики безпеки повинна бути персоніфікована.

Політики безпеки інформації, які реалізуються різними комп’ютерными системами будуть відрізнятися не тільки тим, що реалізовані в них функції захисту можуть забезпечувати захист від різних типів загроз, але і в зв’язку з тим, що ресурси комп’ютерної системи можуть істотно розрізнятися. Так, якщо операційна система оперує файлами, то СУБД має справу із записами, розміщеними в різних файлах.

Частина політики безпекти, яка регламентує правила доступу користувачів і процесів до ресурсів комп’ютерної системи, складає правила розмежування доступу.