12. Классификация источников угроз информационной безопасности.

Источники угроз (понимается непосредственный исполнитель угрозы в плане ее негативного воздействия на информацию):

- люди;

- технические устройства;

- модели, алгоритмы, программы;

- технологические схемы обработки;

- внешняя среда.

Предпосылки появления угроз:

- объективные (количественная или качественная недостаточность элементов системы) - причины, не связанные непосредственно с деятельностью людей и вызывающие случайные по характеру происхождения угрозы;

- субъективные - причины, непосредственно связанные с деятельностью человека и вызывающие как преднамеренные (деятельность разведок иностранных государств, промышленный шпионаж, деятельность уголовных элементов и недобросовестных сотрудников), так и непреднамеренные (плохое психофизиологическое состояние, недостаточная подготовка, низкий уровень знаний) угрозы информации.

13. Классификация уязвимостей информационных систем.

Угрозы информационным ресурсам проявляются в овладении конфиденциальной информацией, ее модификации в интересах злоумышленника или ее разрушении с целью нанесения материального ущерба.

Осуществление угроз информационным ресурсам может быть произведено:

- через имеющиеся агентурные источники в органах государственного управления, коммерческих структур, имеющих возможность получения конфиденциальной информации;

- путем подкупа лиц, непосредственно работающих на предприятии или в структурах, непосредственно связанных с его деятельностью;

- путем перехвата информации, циркулирующей в средствах и системах связи и вычислительной техники, с помощью технических средств разведки и съема информации, несанкционированного доступа к информации и преднамеренных программно-математических воздействий на нее в процессе обработки и хранения;

- путем подслушивания конфиденциальных переговоров, ведущихся в служебных помещениях, служебном и личном автотранспорте, на квартирах и дачах;

- через переговорные процессы с иностранными или отечественными фирмами, используя неосторожное обращение с информацией;

- через "инициативщиков" из числа сотрудников, которые хотят заработать деньги и улучшить свое благосостояние или проявляют инициативу по другим моральным или материальным причинам.

Можно выделить несколько критериев классификации уязвимостей. Уязвимости можно классифицировать по  этапам жизненного цикла, на которых они появляются:

• уязвимости этапа проектирования;

• уязвимости этапа реализации;

• уязвимости этапа эксплуатации.

Выделяются следующие типы уязвимостей:(по уровню в инф. инфраструктуре)

• уязвимости уровня сети —  уязвимости сетевых протоколов;

• уязвимости уровня операционной системы;

• уязвимости уровня баз данных — уязвимости конкретных СУБД ;

• уязвимости уровня приложений  — относятся уязвимости программного обеспечения.

Классификация уязвимостей по степени риска:

• высокий уровень риска —  уязвимость позволяет атакующему получить доступ к узлу с правами администратора в обход средств защиты;

• средний уровень риска  — уязвимость позволяет атакующему получить информацию, которая с высокой степенью вероятности позволит получить доступ к узлу;

• низкий уровень риска — уязвимости, позволяющие злоумышленнику осуществлять сбор критической информации о системе.