5.3. Идентификация активов

Основу процесса анализа риска составляет определение: что надо защищать, от кого и как. Для этого выявляются активы (компоненты АС), нуждающиеся в защите. Некоторые активы (например, технические и программные средства) идентифицируются очевидным образом. Про некоторые активы (люди, расходные материалы) часто забывают. При идентификации активов могут быть затронуты и нематериальные ценности, способные, однако, пострадать от нарушения режима безопасности, например: репутация компании, моральный климат в коллективе.

В таблице 6.2. представлены основные категории активов АС предприятия.

В некоторых специфичных АС активы, уникальные для организации, могут быть выделены в отдельные группы, например: коммуникационное, алгоритмическое или лингвистическое обеспечение. Кроме того, могут подлежать защите части инфраструктуры, в частности подсистемы электроснабжения и др.

Таблица 2.

Основные активы информационной системы предприятия

Категории активов	Компоненты информационной системы
Аппаратное обеспечение	Компьютеры, периферийные устройства, коммуникационные линии, сетевое оборудование и их составные части
Программное обеспечение	Исходные, объектные и загрузочные модули операционных систем, вспомогательных системных и коммуникационных программ, инструментальных средств разработки, прикладных программных пакетов
Информационное обеспечение	Вводимые и обрабатываемые, хранимые, передаваемые и резервные (сохранные копии) данные и метаданные
Персонал	Обслуживающий персонал и пользователи
Документация	Конструкторская, техническая, пользовательская и иная документация
Расходные материалы	Бумага, магнитные носители, картриджи и т.д.

В процессе идентификации активов фиксируются технологии ввода, хранения, обработки и передачи информации в системе. Главным результатом процесса идентификации активов является получение детальной информационной структуры организации и способов использования информации. Дальнейшие этапы анализа риска основываются именно на данной, зафиксированной на некоторый момент времени, информации.

5.4. Анализ угроз

После идентификации активов АС следует рассмотреть все возможные угрозы указанным активам, оценить риски и ранжировать их по степени возможного ущерба.

Под угрозой обычно понимают любое событие (действие), которое потенциально может нанести ущерб АС путем нарушения нарушению конфиденциальности, целостности или доступности информации. Угрозы могут быть преднамеренными, являющимися следствием умышленных (злонамеренных) действий людей, и непреднамеренные, вызванные ошибками человека или сбоями и отказами работы технических и программных средств, или стихийными действиями.

В таблице 6.3. приведены примеры общих угроз, способных привести к нарушению конфиденциальности, целостности и доступности информации.

В реальной жизни список существенно полнее и конкретнее. Например, распространенными угрозами в среде Интернет являются: нарушение работы сетевых устройств и служб, макровирусы, передаваемые вместе с присоединяемыми файлами электронной почты, вандалы — плохо отлаженные апплеты Java и ActiveX, перехват электронной почты, взлом корпоративных сетей, кража или неавторизованное изменение корпоративной информации.

При анализе угроз необходимо выявить их источники (см. табл. 6.4) и условия реализации. Это поможет в выборе дополнительных средств защиты. Часто одни угрозы могут быть следствием или условием проявления ряда других угроз. Например, несанкционированный доступ (в различных формах его проявления) к ресурсам облегчает реализацию практически любой угрозы: от порчи магнитного носителя до комплексной удаленной атаки.

Таблица 6.3.

Примеры угроз информационной системы

	Объекты воздействия
Реализация угроз	Информационное обеспечение	Программное   обеспечение	Техническое     обеспечение	Персонал
Нелегальное ознакомление (чтение)	НСД, копирование, размножение, хищение, перехват, дешифрование	НСД, внедрение вирусов и закладок, использование дефектов, ошибки	НСД, внедрение закладок, нарушение режимов работы, хищение носителей, отказы, ошибки	некомпетентность, халатность, разглашение, подкуп, вербовка
Несанкционированное уничтожение или модификация	НСД, искажение, удаление, модификация	НСД, внедрение вирусов и закладок, использование дефектов, ошибки	НСД, внедрение закладок, нарушение режимов работы, отказы, ошибки	некомпетентность, халатность, подкуп, вербовка
Отказ в обслуживании	НСД, удаление, искажение адресации	НСД, искажение, удаление, подмена, внедрение вирусов и закладок, использование дефектов, ошибки	НСД, внедрение закладок, разрушение, перегрузка, выход из строя, нарушение режимов работы, отказы, ошибки	некомпетентность, халатность, нарушение режимов работы, болезнь

Таблица 6.4.

Обобщенные источники угроз безопасности информационной системы

Внешние источники угроз	Внутренние источники угроз
атмосферные явления, стихийные бедствия, катастрофы, аварии деятельность конкурирующих экономических структур, деятельность преступных группировок и лиц и др.	нарушение персоналом режимов безопасности, отказы и сбои аппаратных средств и носителей информации ошибки программного обеспечения, деятельность преступных группировок и лиц и др.