Информационная безопасность объектов и технологических процессов / Metodika otsenki ugroz 2021
.pdf41
К модели угроз безопасности информации могут прилагаться рисунки, иллюстрирующие возможности нарушителей, и другие поясняющие материалы.
6.Способы реализации (возникновения) угроз безопасности информации
Раздел «Способы реализации (возникновения) угроз безопасности информации» включает:
описание способов реализации (возникновения) угроз безопасности информации, которые могут быть использованы нарушителями разных видов и категорий;
описание интерфейсов объектов воздействия, доступных для использования нарушителями способов реализации угроз безопасности информации.
К модели угроз безопасности информации может прилагаться схема с отображением типов логических, физических интерфейсов объектов воздействия, в том числе требующих физического доступа к ним, а также соответствующие им способы реализации угроз безопасности информации.
7.Актуальные угрозы безопасности информации
Раздел «Актуальные угрозы безопасности информации» включает: перечень возможных (вероятных) угроз безопасности информации для
соответствующих способов их реализации и уровней возможностей нарушителей;
описание возможных сценариев реализации угроз безопасности информации;
выводы об актуальности угроз безопасности информации.
К модели угроз безопасности информации может прилагаться схема с отображением сценариев реализации угроз безопасности информации.
42
Приложение 4 к Методике оценки угроз безопасности информации
Виды рисков (ущерба) и типовые негативные последствия от реализации угроз безопасности информации
|
|
|
|
|
Таблица 4.1 |
|
№ |
Виды |
Возможные типовые негативные |
||||
|
риска (ущерба) |
|
последствия |
|
|
|
У1 |
Ущерб физическому лицу |
Угроза жизни или здоровью. |
|
|
||
|
|
Унижение достоинства личности. |
|
|||
|
|
Нарушение |
|
свободы, |
|
личной |
|
|
неприкосновенности. |
|
|
|
|
|
|
Нарушение неприкосновенности частной жизни. |
||||
|
|
Нарушение личной, семейной тайны, утрата |
||||
|
|
чести и доброго имени. |
|
|
||
|
|
Нарушение тайны переписки, телефонных |
||||
|
|
переговоров, иных сообщений. |
|
|
||
|
|
Нарушение иных прав и свобод гражданина, |
||||
|
|
закрепленных |
в |
Конституции |
Российской |
|
|
|
Федерации и федеральных законах. |
|
|||
|
|
Финансовый, иной материальный ущерб |
||||
|
|
физическому лицу. |
|
|
|
|
|
|
Нарушение |
конфиденциальности |
(утечка) |
||
|
|
персональных данных. |
|
|
|
|
|
|
«Травля» гражданина в сети «Интернет». |
||||
|
|
Разглашение персональных данных граждан |
||||
|
|
|
|
|
||
У2 |
Риски юридическому лицу, |
Нарушение |
законодательства |
Российской |
||
|
индивидуальному |
Федерации. |
|
|
|
|
|
предпринимателю, связанные с |
Потеря (хищение) денежных средств. |
|
|||
|
хозяйственной деятельностью |
Недополучение |
ожидаемой |
(прогнозируемой) |
||
|
|
прибыли. |
|
|
|
|
|
|
Необходимость |
|
|
дополнительных |
|
|
|
(незапланированных) затрат на выплаты штрафов |
||||
|
|
(неустоек) или компенсаций. |
|
|
||
|
|
Необходимость |
|
|
дополнительных |
|
|
|
(незапланированных) затрат на закупку товаров, |
||||
|
|
работ или услуг (в том числе закупка |
||||
|
|
программного обеспечения, технических средств, |
||||
|
|
вышедших из строя, замена, настройка, ремонт |
||||
|
|
указанных средств). |
|
|
|
|
|
|
Нарушение штатного режима функционирования |
||||
|
|
автоматизированной |
системы |
управления и |
||
|
|
управляемого объекта и/или процесса. |
|
|||
|
|
Срыв запланированной сделки с партнером. |
||||
|
|
Необходимость |
|
|
дополнительных |
|
|
|
(незапланированных) затрат на восстановление |
||||
|
|
деятельности. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
43 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Продолжение таблицы 4.1 |
|||||
№ |
|
Виды |
|
|
|
Возможные типовые негативные |
|
|||||||
|
риска (ущерба) |
|
|
|
|
последствия |
|
|
|
|||||
|
|
|
|
|
|
|
Потеря клиентов, поставщиков. |
|
|
|
||||
|
|
|
|
|
|
|
Потеря конкурентного преимущества. |
|
||||||
|
|
|
|
|
|
|
Невозможность |
|
заключения |
|
договоров, |
|||
|
|
|
|
|
|
|
соглашений. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Нарушение деловой репутации. |
|
|
|
||||
|
|
|
|
|
|
|
Снижение престижа. |
|
|
|
|
|
||
|
|
|
|
|
|
|
Дискредитация работников. |
|
|
|
|
|||
|
|
|
|
|
|
|
Утрата доверия. |
|
|
|
|
|
||
|
|
|
|
|
|
|
Причинение имущественного ущерба. |
|
||||||
|
|
|
|
|
|
|
Неспособность |
выполнения |
|
договорных |
||||
|
|
|
|
|
|
|
обязательств. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Невозможность решения задач (реализации |
|||||||
|
|
|
|
|
|
|
функций) или снижение эффективности решения |
|||||||
|
|
|
|
|
|
|
задач (реализации функций). |
|
|
|
|
|||
|
|
|
|
|
|
|
Необходимость |
изменения |
|
(перестроения) |
||||
|
|
|
|
|
|
|
внутренних процедур для достижения целей, |
|||||||
|
|
|
|
|
|
|
решения задач (реализации функций). |
|
|
|||||
|
|
|
|
|
|
|
Принятие неправильных решений. |
|
|
|||||
|
|
|
|
|
|
|
Простой информационной системы или сети. |
|
||||||
|
|
|
|
|
|
|
Публикация |
недостоверной |
информации |
на |
||||
|
|
|
|
|
|
|
веб-ресурсах организации. |
|
|
|
|
|||
|
|
|
|
|
|
|
Использование |
|
веб-ресурсов |
для |
||||
|
|
|
|
|
|
|
распространения |
и |
управления |
|
вредоносным |
|||
|
|
|
|
|
|
|
программным обеспечением. |
|
|
|
|
|||
|
|
|
|
|
|
|
Рассылка |
информационных |
|
сообщений |
с |
|||
|
|
|
|
|
|
|
использованием |
вычислительных |
мощностей |
|||||
|
|
|
|
|
|
|
оператора и (или) от его имени. |
|
|
|
|
|||
|
|
|
|
|
|
|
Утечка |
конфиденциальной |
|
информации |
||||
|
|
|
|
|
|
|
(коммерческой |
тайны, секретов |
|
производства |
||||
|
|
|
|
|
|
|
(ноу-хау) и др.) |
|
|
|
|
|
|
|
У3 |
Ущерб государству |
в |
области |
Причинение ущерба жизни и здоровью людей. |
|
|||||||||
|
обеспечения |
|
обороны |
страны, |
Прекращение или нарушение функционирования |
|||||||||
|
безопасности |
|
государства |
и |
объектов |
обеспечения |
жизнедеятельности |
|||||||
|
правопорядка, |
|
а |
также |
в |
населения. |
|
|
|
|
|
|
|
|
|
социальной, |
|
экономической, |
Прекращение или нарушение функционирования |
||||||||||
|
политической, |
экологической |
объектов транспортной инфраструктуры. |
|
||||||||||
|
сферах деятельности |
|
|
|
Прекращение или нарушение функционирования |
|||||||||
|
|
|
|
|
|
|
государственного органа в части невыполнения |
|||||||
|
|
|
|
|
|
|
возложенной на него функции (полномочия). |
|
||||||
|
|
|
|
|
|
|
Прекращение или нарушение функционирования |
|||||||
|
|
|
|
|
|
|
сети связи. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Отсутствие доступа к государственной услуге. |
|
||||||
|
|
|
|
|
|
|
Нарушение |
условий |
международного договора |
|||||
|
|
|
|
|
|
|
Российской Федерации, срыв переговоров или |
|||||||
|
|
|
|
|
|
|
подписания |
планируемого |
к |
|
заключению |
|||
|
|
|
|
|
|
|
международного договора Российской Федерации. |
|||||||
|
|
|
|
|
|
|
Снижение |
уровня |
дохода |
государственной |
||||
|
|
|
|
|
|
|
корпорации, государственной организации или |
|||||||
|
|
|
|
|
|
|
организации с государственным участием. |
|
||||||
44
Продолжение таблицы 4.1
№ |
Виды |
Возможные типовые негативные |
|
||||||
|
риска (ущерба) |
|
|
последствия |
|
|
|
||
|
|
Возникновение ущерба бюджетам |
Российской |
||||||
|
|
Федерации. |
|
|
|
|
|
|
|
|
|
Прекращение |
или |
нарушение |
проведения |
||||
|
|
клиентами операций по банковским счетам и (или) |
|||||||
|
|
без открытия банковского счета или операций в |
|||||||
|
|
системно значимой кредитной организации, |
|||||||
|
|
оператором |
услуг |
платежной |
инфраструктуры |
||||
|
|
системно и (или) социально значимых платежных |
|||||||
|
|
систем, системно значимой инфраструктурной |
|||||||
|
|
организацией финансового рынка. |
|
|
|||||
|
|
Вредные воздействия на окружающую среду. |
|
||||||
|
|
Прекращение или нарушение функционирования |
|||||||
|
|
пункта управления (ситуационного центра). |
|
||||||
|
|
Снижение |
|
показателей |
государственного |
||||
|
|
оборонного заказа. |
|
|
|
|
|
||
|
|
Прекращение или нарушение функционирования |
|||||||
|
|
информационной системы в области обеспечения |
|||||||
|
|
обороны страны, безопасности государства и |
|||||||
|
|
правопорядка. |
|
|
|
|
|
|
|
|
|
Нарушение |
законодательства |
Российской |
|||||
|
|
Федерации. |
|
|
|
|
|
|
|
|
|
Публикация недостоверной социально значимой |
|||||||
|
|
информации на веб-ресурсах, которая может |
|||||||
|
|
привести к социальной напряженности, панике |
|||||||
|
|
среди населения и др. |
|
|
|
|
|
||
|
|
Нарушение штатного режима функционирования |
|||||||
|
|
автоматизированной |
системы |
управления |
и |
||||
|
|
управляемого объекта и/или процесса, если это |
|||||||
|
|
ведет к выводу из строя технологических объектов, |
|||||||
|
|
их компонентов. |
|
|
|
|
|
|
|
|
|
Нарушение |
общественного |
правопорядка, |
|||||
|
|
возможность потери или снижения уровня |
|||||||
|
|
контроля за общественным правопорядком. |
|
||||||
|
|
Нарушение выборного процесса. |
|
|
|||||
|
|
Отсутствие |
возможности |
оперативного |
|||||
|
|
оповещения населения о чрезвычайной ситуации. |
|
||||||
|
|
Организация пикетов, забастовок, митингов и |
|||||||
|
|
других акций. |
|
|
|
|
|
|
|
|
|
Массовые увольнения. |
|
|
|
|
|||
|
|
Увеличение количества жалоб в органы |
|||||||
|
|
государственной власти или органы местного |
|||||||
|
|
самоуправления. |
|
|
|
|
|
|
|
|
|
Появление |
|
негативных |
публикаций |
в |
|||
|
|
общедоступных источниках. |
|
|
|
||||
|
|
Создание |
предпосылок |
к внутриполитическому |
|||||
|
|
кризису. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
45 |
|
|
|
|
|
|
|
|
Окончание таблицы 4.1 |
||
№ |
Виды |
|
Возможные типовые негативные |
|
||
|
риска (ущерба) |
|
|
последствия |
|
|
|
|
|
Доступ к персональным данным сотрудников |
|||
|
|
|
органов государственной власти, уполномоченных |
|||
|
|
|
в области обеспечения обороны, безопасности и |
|||
|
|
|
правопорядка, |
высших |
должностных |
лиц |
|
|
|
государственных органов и других лиц |
|||
|
|
|
государственных органов. |
|
|
|
|
|
|
Доступ к системам и сетям с целью незаконного |
|||
|
|
|
использования вычислительных мощностей. |
|
||
|
|
|
Использование веб-ресурсов государственных |
|||
|
|
|
органов для распространения и управления |
|||
|
|
|
вредоносным программным обеспечением. |
|
||
|
|
|
Утечка информации ограниченного доступа. |
|
||
|
|
|
Непредоставление государственных услуг |
|
||
Указанные типовые негативные последствия от реализации угроз безопасности информации подлежат конкретизации и могут дополняться другими негативными последствиями в зависимости от особенностей области деятельности, в которой функционирует система и сеть.
46
|
|
|
|
|
|
|
|
|
|
|
|
|
Приложение 5 |
|||
|
|
|
|
|
|
|
|
|
|
|
к Методике оценки угроз |
|||||
|
|
|
|
|
|
|
|
|
|
|
безопасности информации |
|||||
|
|
Примеры определения объектов воздействия и видов |
|
|
||||||||||||
|
|
|
|
|
|
воздействия на них |
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Таблица 5.1 |
||
|
Негативные |
|
|
Объекты воздействия |
|
|
Виды воздействия |
|
|
|||||||
|
последствия |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|||||
Разглашение |
|
|
База |
|
данных |
|
Утечка |
идентификационной |
информации |
|||||||
персональных |
|
|
информационной |
|
граждан из базы данных |
|
|
|
||||||||
данных |
граждан |
|
|
системы, |
содержащая |
|
|
|
|
|
|
|
|
|
||
(У1) |
|
|
|
идентификационную |
|
|
|
|
|
|
|
|
|
|||
|
|
|
|
|
информацию граждан |
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
Удаленное |
|
|
Утечка идентификационной информации |
|
|||||||
|
|
|
|
|
автоматизированное |
|
граждан с АРМ пользователя |
|
|
|
||||||
|
|
|
|
|
рабочее место (АРМ) |
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
пользователя |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||
|
|
|
|
|
Линия |
связи |
между |
|
Перехват информации, содержащей |
|
||||||
|
|
|
|
|
сервером |
основного |
|
идентификационную информацию граждан, |
|
|||||||
|
|
|
|
|
центра |
обработки |
|
передаваемой по линиям связи |
|
|
||||||
|
|
|
|
|
данных |
и |
сервером |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
резервного |
центра |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
обработки данных |
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
Веб-приложение |
|
Несанкционированный |
доступ |
к |
|||||||
|
|
|
|
|
информационной |
|
идентификационной |
информации граждан, |
||||||||
|
|
|
|
|
системы, |
|
|
|
содержащейся |
|
в |
веб-приложении |
||||
|
|
|
|
|
обрабатывающей |
|
информационной системы |
|
|
|
||||||
|
|
|
|
|
идентификационную |
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
информацию граждан |
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|||||||
Хищение |
|
|
|
Банк-клиент |
|
|
Несанкционированная |
подмена |
данных, |
|||||||
денежных средств |
|
|
|
|
|
|
содержащихся |
в |
реквизитах |
платежного |
||||||
со |
счета |
|
|
|
|
|
|
поручения |
|
|
|
|
|
|
||
организации (У2) |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
АРМ |
финансового |
|
Несанкционированная |
|
модификация |
|||||||||
|
|
|
|
|
|
|
||||||||||
|
|
|
|
|
директора |
|
|
информации в платежных распоряжениях и |
||||||||
|
|
|
|
|
|
|
|
|
отправка |
недостоверных распоряжений |
от |
|||||
|
|
|
|
|
|
|
|
|
имени финансового директора |
|
|
|
||||
|
|
|
|
|
|
|
|
|
|
|
||||||
|
|
|
|
|
Электронный почтовый |
|
Модификация |
информации |
в |
платежных |
||||||
|
|
|
|
|
ящик |
финансового |
|
распоряжениях |
и |
отправка |
недостоверных |
|||||
|
|
|
|
|
директора |
|
|
распоряжений |
от |
|
имени |
финансового |
||||
|
|
|
|
|
|
|
|
|
директора |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
АРМ |
|
главного |
|
Подмена данных, содержащих реквизиты |
|||||||
|
|
|
|
|
бухгалтера |
|
|
платежных поручений и другой платежной |
||||||||
|
|
|
|
|
|
|
|
|
информации на АРМ главного бухгалтера |
|
||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
47
Окончание таблицы 5.1
|
Негативные |
|
|
Объекты воздействия |
|
Виды воздействия |
|
||||||||
|
последствия |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
||||
Срыв |
|
|
|
АРМ |
руководителя |
|
Модификация |
информации |
и |
отправка |
|||||
запланированной |
|
|
организации |
|
|
электронных |
писем |
|
с |
недостоверной |
|||||
сделки |
с |
|
|
|
|
|
|
информацией |
от |
имени |
руководителя |
||||
партнером (У2) |
|
|
|
|
|
|
организации |
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|||||
|
|
|
|
|
Электронный почтовый |
|
Модификация |
информации |
и |
отправка |
|||||
|
|
|
|
|
ящик |
руководителя |
|
электронных |
писем |
|
с |
недостоверной |
|||
|
|
|
|
|
организации |
|
|
информацией |
от |
имени |
руководителя |
||||
|
|
|
|
|
|
|
|
|
организации |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||
Загрязнения |
|
|
Коммутационный |
|
Несанкционированная |
|
|
модификация |
|||||||
окружающей |
|
|
контроллер |
для |
|
(изменение) логики работы или уставок |
|||||||||
среды и водоемов |
|
|
управления |
|
|
коммутационного |
контроллера, |
которая |
|||||||
в |
результате |
|
|
аварийными |
|
|
приводит к открытию (или не закрытию) |
||||||||
разлива |
нефти из |
|
|
задвижками |
в |
|
аварийной |
задвижки |
при |
нарушении |
|||||
нефтепровода |
|
|
нефтепроводе |
|
|
герметичности нефтепровода |
|
|
|||||||
(У3) |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Программируемый |
|
Несанкционированная |
|
|
модификация |
|||||||
|
|
|
|
|
|
|
|
||||||||
|
|
|
|
|
логический контроллер |
|
(изменение) логики работы или уставок ПЛК, |
||||||||
|
|
|
|
|
(ПЛК) для управления |
|
которая приводит к включению (или не |
||||||||
|
|
|
|
|
насосными станциями |
|
отключению) насосной станции при закрытой |
||||||||
|
|
|
|
|
|
|
|
|
аварийной задвижке в нефтепроводе |
|
|||||
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
АРМ оператора |
|
|
Несанкционированная |
|
отправка |
команд, |
||||
|
|
|
|
|
|
|
|
|
приводящая |
к |
несрабатыванию |
средств |
|||
|
|
|
|
|
|
|
|
|
аварийной защиты и (или) к изменению |
||||||
|
|
|
|
|
|
|
|
|
логики ПЛК |
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
Непредоставление |
|
|
Веб-приложение |
|
Отказ в обслуживании веб-приложения |
||||||||||
государственных |
|
|
портала |
|
|
|
|
|
|
|
|
|
|
||
услуг (У3) |
|
|
государственных услуг |
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
Система |
управления |
|
Подмена информации на страницах портала |
|||||||
|
|
|
|
|
содержимым |
веб- |
|
на недостоверную |
|
|
|
|
|
||
|
|
|
|
|
приложения |
(сайта) |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
портала |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
государственных услуг |
|
|
|
|
|
|
|
|
||
|
|
|
|
|
Сервер |
балансировки |
|
Отказ в обслуживании веб-приложения |
|||||||
|
|
|
|
|
нагрузки |
на |
веб- |
|
|
|
|
|
|
|
|
|
|
|
|
|
приложение |
(сайт) |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
портала |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
государственных услуг |
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
||||||||
|
|
|
|
|
Сервер веб-приложения |
|
Отказ в обслуживании веб-приложения |
||||||||
|
|
|
|
|
(сайта) |
|
портала |
|
|
|
|
|
|
|
|
|
|
|
|
|
государственных услуг |
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
||||||
|
|
|
|
|
Сервер |
баз |
данных |
|
Отказ в обслуживании сервера управления |
||||||
|
|
|
|
|
портала |
|
|
|
базами данных |
|
|
|
|
|
|
|
|
|
|
|
государственных услуг |
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
Подмена информации в базах данных на |
|||||||||
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
недостоверную |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||
|
|
|
|
|
|
|
|
|
Утечка персональных данных граждан |
||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
48
Приложение 6 к Методике оценки угроз безопасности информации
Возможные цели реализации угроз безопасности информации нарушителями
|
|
|
|
|
|
|
|
|
|
Таблица 6.1 |
|||
№ |
Виды |
|
Категории |
Возможные цели реализации угроз |
|||||||||
вида |
нарушителя |
нарушителя |
|
безопасности информации |
|
||||||||
1 |
Специальные |
службы |
Внешний |
Нанесение ущерба государству в области |
|||||||||
|
иностранных |
|
|
обеспечения обороны, безопасности и |
|||||||||
|
государств |
|
|
правопорядка, а также в иных отдельных |
|||||||||
|
|
|
|
областях его деятельности или секторах |
|||||||||
|
|
|
|
экономики, в том числе дискредитация |
|||||||||
|
|
|
|
или |
дестабилизация |
деятельности |
|||||||
|
|
|
|
отдельных |
|
органов |
государственной |
||||||
|
|
|
|
власти, |
|
организаций, |
|
получение |
|||||
|
|
|
|
конкурентных преимуществ |
на |
уровне |
|||||||
|
|
|
|
государства, |
|
|
срыв |
|
заключения |
||||
|
|
|
|
международных |
договоров, |
создание |
|||||||
|
|
|
|
внутриполитического кризиса |
|
|
|
||||||
2 |
Террористические, |
Внешний |
Совершение |
|
террористических |
актов, |
|||||||
|
экстремистские |
|
|
угроза жизни граждан. |
|
|
|
|
|||||
|
группировки |
|
|
Нанесение |
ущерба |
отдельным |
сферам |
||||||
|
|
|
|
деятельности |
или секторам |
экономики |
|||||||
|
|
|
|
государства. |
|
|
|
|
|
|
|
|
|
|
|
|
|
Дестабилизация общества. |
|
|
|
|
|||||
|
|
|
|
Дестабилизация |
деятельности |
органов |
|||||||
|
|
|
|
государственной власти, организаций |
|||||||||
3 |
Преступные |
группы |
Внешний |
Получение |
|
финансовой |
или |
|
иной |
||||
|
(криминальные |
|
|
материальной выгоды. |
|
|
|
|
|||||
|
структуры) |
|
|
Желание самореализации (подтверждение |
|||||||||
|
|
|
|
статуса) |
|
|
|
|
|
|
|
|
|
4 |
Отдельные физические |
Внешний |
Получение |
|
финансовой |
или |
|
иной |
|||||
|
лица (хакеры) |
|
|
материальной выгоды. |
|
|
|
|
|||||
|
|
|
|
Любопытство |
|
|
или |
|
|
желание |
|||
|
|
|
|
самореализации (подтверждение статуса) |
|||||||||
5 |
Конкурирующие |
Внешний |
Получение конкурентных преимуществ. |
||||||||||
|
организации |
|
|
Получение |
|
финансовой |
или |
|
иной |
||||
|
|
|
|
материальной выгоды |
|
|
|
|
|
||||
6 |
Разработчики |
|
Внутренний |
Внедрение |
|
|
|
дополнительных |
|||||
|
программных, |
|
|
функциональных |
|
возможностей |
в |
||||||
|
программно- |
|
|
программные |
|
или |
программно- |
||||||
|
аппаратных средств |
|
аппаратные средства на этапе разработки. |
||||||||||
|
|
|
|
Получение конкурентных преимуществ. |
|||||||||
|
|
|
|
Получение |
|
финансовой |
или |
|
иной |
||||
|
|
|
|
материальной выгоды. |
|
|
|
|
|||||
|
|
|
|
Непреднамеренные, |
неосторожные |
или |
|||||||
|
|
|
|
неквалифицированные действия |
|
|
|||||||
49
Окончание таблицы 6.1
№ |
|
Виды |
|
Категории |
Возможные цели реализации угроз |
|||||
вида |
нарушителя |
|
нарушителя |
безопасности информации |
|
|||||
7 |
Лица, |
обеспечивающие |
Внешний |
Получение |
финансовой |
или |
иной |
|||
|
поставку программных, |
|
материальной выгоды. |
|
|
|||||
|
программно- |
|
|
Непреднамеренные, |
неосторожные |
или |
||||
|
аппаратных |
средств, |
|
неквалифицированные действия. |
|
|||||
|
обеспечивающих |
|
|
Получение конкурентных преимуществ |
||||||
|
систем |
|
|
|
|
|
|
|
|
|
8 |
Поставщики |
|
|
Внутренний |
Получение |
финансовой |
или |
иной |
||
|
вычислительных услуг, |
|
материальной выгоды. |
|
|
|||||
|
услуг связи |
|
|
|
Непреднамеренные, |
неосторожные |
или |
|||
|
|
|
|
|
|
неквалифицированные действия. |
|
|||
|
|
|
|
|
|
Получение конкурентных преимуществ |
||||
9 |
Лица, |
привлекаемые |
Внутренний |
Получение |
финансовой |
или |
иной |
|||
|
для |
|
установки, |
|
материальной |
|
|
выгоды. |
||
|
настройки, |
испытаний, |
|
Непреднамеренные, |
неосторожные |
или |
||||
|
пусконаладочных |
и |
|
неквалифицированные действия. |
|
|||||
|
иных видов работ |
|
|
Получение конкурентных преимуществ |
||||||
10 |
Лица, |
обеспечивающие |
Внутренний |
Получение |
финансовой |
или |
иной |
|||
|
функционирование |
|
|
материальной выгоды. |
|
|
||||
|
систем |
и |
сетей |
или |
|
Непреднамеренные, |
неосторожные |
или |
||
|
обеспечивающие |
|
|
неквалифицированные действия |
|
|||||
|
системы |
оператора |
|
|
|
|
|
|
||
|
(администрация, охрана, |
|
|
|
|
|
|
|||
|
уборщики и т.д.) |
|
|
|
|
|
|
|
||
11 |
Авторизованные |
|
Внутренний |
Получение |
финансовой |
или |
иной |
|||
|
пользователи систем и |
|
материальной выгоды. |
|
|
|||||
|
сетей |
|
|
|
|
Любопытство |
|
или |
желание |
|
|
|
|
|
|
|
самореализации (подтверждение статуса). |
||||
|
|
|
|
|
|
Месть за ранее совершенные действия. |
||||
|
|
|
|
|
|
Непреднамеренные, |
неосторожные |
или |
||
|
|
|
|
|
|
неквалифицированные действия |
|
|||
12 |
Системные |
|
|
Внутренний |
Получение |
финансовой |
или |
иной |
||
|
администраторы |
и |
|
материальной выгоды. |
|
|
||||
|
администраторы |
|
|
Любопытство |
|
или |
желание |
|||
|
безопасности |
|
|
самореализации (подтверждение статуса). |
||||||
|
|
|
|
|
|
Месть за ранее совершенные действия. |
||||
|
|
|
|
|
|
Непреднамеренные, |
неосторожные |
или |
||
|
|
|
|
|
|
неквалифицированные действия |
|
|||
13 |
Бывшие |
работники |
Внешний |
Получение |
финансовой |
или |
иной |
|||
|
(пользователи) |
|
|
материальной выгоды. |
|
|
||||
|
|
|
|
|
|
Месть за ранее совершенные действия |
||||
Указанные возможные цели реализации угроз безопасности информации подлежат конкретизации и могут дополняться другими целями в зависимости от особенностей области деятельности, в которой функционируют системы и сети.
При оценке возможностей нарушителей необходимо исходить из того, что для повышения уровня своих возможностей нарушители 1 вида могут вступать
50
в сговор с нарушителями 5, 6, 7, 8, 9, 10, 11, 12 видов. Нарушители 2 вида могут вступать в сговор с нарушителями 10, 11, 12 видов. Нарушители 3 вида могут вступать в сговор с нарушителями 10, 11, 12 видов. В случае принятия таких предположений цели и уровни возможностей нарушителей подлежат объединению.