МИНОБРНАУКИ РОССИИ САНКТ-ПЕТЕРБУРГСКИЙ ГОСУДАРСТВЕННЫЙ ЭЛЕКТРОТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ «ЛЭТИ» ИМ. В.И. УЛЬЯНОВА (ЛЕНИНА) Кафедра информационной безопасности
ОТЧЕТ по практической работе №3
по дисциплине «Основы информационной безопасности» Тема: «Проведение анализа и оценки возможностей реализации угроз
информационной безопасности на объекте по методике С.В. Вихорева»
Студент гр.
Преподаватель
Санкт-Петербург
2023
Цель работы: Изучение вида работ по разработке модели угроз, ее
актуализации.
1. Описание базового объекта
Рассматривается ООО «Ситилинк» находящееся: в Европейской части Российской Федерации, в спокойных метеорологических, сейсмических и гидрологических условиях (возможны наводнения), не имеющий в непосредственной близости предприятий, и других техногенных сооружений.
Предприятие имеет гетерогенную, иерархическую корпоративную информационную сеть со счетным количеством пользователей, которая:
обрабатывает информацию с разной степенью конфиденциальности
имеет равенство приоритетов целей ИБ
пользователи имеют разные права доступа к информации Воздействия источников угроз приносят максимальный ущерб субъекту
отношений, а сами источники угроз имеют максимальные возможности по
реализации угроз.
2. Ранжирование групп источников угроз ИБ
Величины весовых коэффициенты групп источников угроз ИБ ( ) и
соответствующих им нормированных весовых коэффициентов группы источников угроз ИБ ( ) исходя из формулы (3.1) приведены в таблице.
Весовые коэффициенты групп источников ИБ при равенстве приоритетов целей
g |
Код |
Группа источников угроз ИБ |
Kgi |
(Kgi)N |
|
|
|
|
|
1 |
[I.A.0] |
Антропогенные внешние источники |
0,90 |
0,26 |
|
|
|
|
|
2 |
[I.B.0] |
Антропогенные внутренние источники |
0,92 |
0,27 |
|
|
|
|
|
3 |
[II.A.0] |
Техногенные внешние источники |
0,57 |
0,17 |
|
|
|
|
|
4 |
[II.B.0] |
Техногенные внутренние источники |
0,57 |
0,17 |
|
|
|
|
|
5 |
[III.A.0] |
Стихийные внешние источники |
0,43 |
0,13 |
|
|
|
|
|
3. Ранжирование источников угроз ИБ
Рассчитаем из формулы (4.4) пороговое значение коэффициента опасности источников угроз для случая равенства приоритетов i = 0,2 x 0,27 = 0,054
|
|
Ф-1 |
|
Коэффициенты приоритетности целей ИБ |
|
|
|
|
r |
Цели ИБ |
(КП)r |
|
|
|
К |
Конфиденциальность |
2 |
Ц |
Целостность |
2 |
Д |
Доступность |
2 |
С |
(КП)c = Const = 2 |
Принимая во внимание, что приоритеты целей ИБ равны, то есть: (КП)К = (КП)Ц = (КП)Д , из формулы (2.1) и учитывая, что (КВ)k = 1, получаем, что коэффициент (КА)k = (КВ)k , из Таблицы 2 получаем:
|
|
Ф-2 |
|
Коэффициенты актуальности угроз ИБ |
|
|
|
|
k |
Угрозы ИБ |
(КА)k |
|
|
|
1 |
Хищение (копирование) информации и средств ее обработки |
0,19 |
2 |
Утрата (неумышленная потеря, утечка) информации и средств ее обработки |
0,10 |
3 |
Модификация (искажение) информации |
0,14 |
4 |
Отрицание подлинности информации |
0,08 |
5 |
Навязывание ложной информации |
0,06 |
6 |
Уничтожение информации и средств ее обработки |
0,17 |
7 |
Блокирование информации |
0,12 |
8 |
Создание условий для реализации угрозы ИБ |
0,14 |
Ф-3
Оценка степени опасности источников угроз ИБ
Код
(i)
[I.A.0]
[I.A.1]
[I.A.2]
[I.A.3]
[I.A.4]
[I.A.5]
[I.A.6]
Источники угроз ИБ |
(k1)i |
(k2)i |
(k3)i |
|
(Коп)i |
|
|
|
|
|
|
|
|
|
|
|
|
Антропогенные внешние источники |
(Kgi)N =(К1)N =0,24 |
||||
криминальные структуры |
4 |
4 |
3 |
|
0,1 |
потенциальные преступники и хакеры |
4 |
5 |
4 |
|
0,20 |
недобросовестные партнеры |
4 |
3 |
4 |
|
0,13 |
технический персонал поставщиков телематических услуг |
3 |
3 |
3 |
|
0,03 |
представители надзорных организаций и аварийных служб |
2 |
2 |
3 |
|
0,01 |
представители силовых структур |
1 |
1 |
2 |
|
0,00 |
[I.B.0] |
Антропогенные внутренние источники |
[I.B.1] основной персонал (пользователи, программисты, разработчики) [I.B.2] представители службы защиты информации (администраторы) [I.B.3] вспомогательный персонал (уборщики, охрана)
[I.B.4] технический персонал (жизнеобеспечение, эксплуатация)
|
[II.A.0] |
|
Техногенные внешние источники |
|
|
[II.A.1] средства связи
[II.A.2] сети инженерных коммуникации (водоснабжения, канализации) [II.A.3] транспорт
[II.B.0] |
Техногенные внутренние источники |
[II.B.1] некачественные технические средства обработки информации |
|
(Kgi)N = (К2)N =0,15
5 |
|
4 |
3 |
0,12 |
3 |
|
4 |
2 |
0,06 |
1 |
|
1 |
2 |
0,00 |
1 |
|
1 |
1 |
0,00 |
|
|
|
|
|
|
(Kgi)N = (К3)N =0,17 |
|||
1 |
|
2 |
2 |
0,04 |
2 |
|
1 |
1 |
0,00 |
2 |
|
3 |
2 |
0,12 |
|
(Kgi)N = (К4)N =0,26 |
|||
3 |
|
4 |
3 |
0,30 |
|
|
|
|
|
[II.B.2] |
некачественные программные средства обработки информации |
2 |
|
3 |
4 |
0,21 |
[II.B.3] |
вспомогательные средства (охраны, сигнализации, телефонии) |
1 |
|
2 |
1 |
0,01 |
[II.B.4] |
другие технические средства, применяемые в учреждении |
1 |
|
1 |
1 |
0,00 |
[III.A.0] |
Стихийные внешние источники |
|
(Kgi)N = (К5)N =0,11 |
|||
[III.A.1] |
пожары |
3 |
|
2 |
3 |
0,10 |
[III.A.2] |
землетрясения, провалы, обвалы, оползни |
1 |
|
2 |
1 |
0,00 |
[III.A.3] |
наводнения, сели, лавины, |
1 |
|
2 |
1 |
0,00 |
[III.A.4] |
ураганы, снегопады, метели, штормы |
1 |
|
1 |
2 |
0,00 |
[III.A.5] |
магнитные бури |
2 |
|
1 |
2 |
0,00 |
[III.A.6] |
радиоактивное излучение |
2 |
|
1 |
2 |
0,00 |
[III.A.7] |
различные непредвиденные обстоятельства |
1 |
|
2 |
1 |
0,00 |
[III.A.8] |
необъяснимые явления |
2 |
|
2 |
1 |
0,00 |
[III.A.9] |
другие форс-мажорные обстоятельства |
1 |
|
1 |
2 |
0,00 |
|
|
|
|
|
|
Ф-4 |
|
Перечень источников угроз исключенных в результате анализа |
|
|
|||
Код |
Источники угроз |
|
|
|
|
[I.A.5] |
представители надзорных организаций и |
|
аварийных служб |
||
|
||
[I.A.6] |
представители силовых структур |
|
[I.B.3] |
вспомогательный персонал (уборщики, |
|
охрана) |
||
|
||
[I.B.4] |
технический персонал (жизнеобеспечение, |
|
эксплуатация) |
||
|
||
[II.A.1] |
средства связи |
|
[II.A.2] |
сети инженерных коммуникации |
|
(водоснабжения, канализации) |
||
[II.B.3] |
вспомогательные средства (охраны, |
|
сигнализации, телефонии) |
||
[II.B.4] |
другие технические средства, применяемые в |
|
учреждении |
||
[III.A.2] |
землетрясения, провалы, обвалы, оползни |
|
[III.A.3] |
наводнения, сели, лавины, |
|
[III.A.4] |
ураганы, снегопады, метели, штормы |
|
[III.A.5] |
магнитные бури |
|
[III.A.6] |
радиоактивное излучение |
|
[III.A.7] |
различные непредвиденные обстоятельства |
|
[III.A.8] |
необъяснимые явления |
|
[III.A.9] |
другие форс-мажорные обстоятельства |
Описание причин исключения
Не рассматриваются, как маловероятные, так как имеют коэффициент опасности ниже порогового значения i = 0,054.
|
|
|
|
|
Ф-5 |
|
|
Перечень актуальных источников угроз |
|
|
|
|
|
|
|
|
|
|
|
|
Код |
Источники угроз |
(k1)i |
(k2)i |
(k3)i |
(Коп)I |
|
(i) |
||||||
|
|
|
|
|
||
[I.A.1] |
криминальные структуры |
4 |
4 |
3 |
0,1 |
|
[I.A.2] |
потенциальные преступники и хакеры |
4 |
5 |
4 |
0,20 |
|
[I.A.3] |
недобросовестные партнеры |
4 |
3 |
4 |
0,13 |
|
[II.B.1] |
некачественные технические средства обработки информации |
3 |
4 |
3 |
0,30 |
|
[I.B.1] |
основной персонал (пользователи, программисты, разработчики) |
5 |
4 |
3 |
0,12 |
|
[II.B.2] |
некачественные программные средства обработки информации |
2 |
3 |
4 |
0,20 |
|
|
|
|
Ф-6 |
|
Нормированные весовые коэффициенты групп методов реализации угроз |
|
||
|
|
|
|
|
gm |
Код |
Группа методов реализации угроз ИБ |
Кgm |
(Кgm)N |
|
|
|
|
|
1 |
[M1.А.0] |
Активные аналитические методы |
0,33 |
0,07 |
2 |
[M1.В.0] |
Пассивные аналитические методы |
0,33 |
0,07 |
3 |
[M2.А.0] |
Активные технические методы |
0,76 |
0,15 |
4 |
[M2.В.0] |
Пассивные технические методы |
0,19 |
0,04 |
5 |
[M3.A.0] |
Активные программно-аппаратные методы |
1,00 |
0,20 |
6 |
[M3.B.0] |
Пассивные программно-аппаратные методы |
0,33 |
0,07 |
7 |
[M4.A.0] |
Активные социальные методы |
0,92 |
0,18 |
8 |
[M5.A.0] |
Активные организационные методы |
0,72 |
0,13 |
9 |
[M6.0.0] |
Предпосылки реализации угроз |
0,43 |
0,09 |
Ф-7
Оценка степени опасности уязвимостей
Код
[А.I.0.0]
[A.I.a.1]
[A.I.a.2]
[A.I.a.3]
[A.I.a.4]
[A.I.b.1]
[A.I.b.2]
[A.I.b.3]
[A.I.c.1]
[A.I.c.2]
[A.II.0.0]
[A.II.a.1]
[A.II.a.2]
[A.II.a.3]
[A.II.a.4]
[A.II.b.1]
[A.II.b.2]
[A.II.b.3]
[A.III.0.0]
[A.III.a.1]
[A.III.a.2]
[A.III.a.3]
[A.III.a.4]
[A.III.a.5]
[A.III.b.1]
[A.III.b.2]
[A.III.b.3]
[A.IV.0.0]
[A.IV.a.1]
[A.IV.a.2]
[A.IV.a.3]
[A.IV.a.4]
[A.IV.b.1]
[A.IV.b.2]
[A.IV.b.3]
[B.I.0.0]
[B.I.a.1]
[B.I.a.2]
[B.I.a.3]
[B.I.a.4]
[B.I.а.5]
Уязвимости ИБ
сопутствующие техническим средствам излучения
побочные излучения элементов технических средств
излучения кабельных линий технических средств
излучения на частотах работы генераторов
излучения на частотах самовозбуждения усилителей
наводки электромагнитных излучений на линии и проводники
просачивание сигналов в цепи электропитания, в цепи заземления
неравномерность потребления тока электропитания
акустические излучения
виброакустические излучения
активизируемые
аппаратные закладки устанавливаемые в телефонные линии
аппаратные закладки устанавливаемые в сети электропитания
аппаратные закладки устанавливаемые в помещениях
аппаратные закладки устанавливаемые в технических средствах
вредоносные программы
технологические выходы из программ
нелегальные копии ПО
определяемые особенностями элементов
обладающие электроакустическими преобразованиями ТА
обладающие электроакустическими преобразованиями громкоговорители
обладающие электроакустическими преобразованиями индуктивности
обладающие электроакустическими преобразованиями дроссели
обладающие электроакустическими преобразованиями трансформаторы
подверженные воздействию электромагнитного поля магнитные носители
подверженные воздействию электромагнитного поля микросхемы
нелинейные элементы, подверженные ВЧ навязыванию
определяемые особенностями защищаемого объекта
отсутствие контролируемой зоны
наличие прямой видимости объектов
наличие удаленных и мобильных элементов объекта
наличие вибрирующих отражающих поверхностей
использование радиоканалов
использование глобальных информационных сетей
использование арендуемых каналов
ошибки (халатность)
при разработке алгоритмов и программного обеспечения
при инсталляции и загрузке программного обеспечения
при эксплуатации программного обеспечения
при вводе данных (информации)
при настройке сервисов универсальных систем
(k1)f |
(k2)f |
(k3)f |
(Kоп)f |
|
|
|
|
|
(Kgu)N =0,75 |
|
|
2 |
3 |
5 |
0,18 |
2 |
3 |
5 |
0,18 |
3 |
3 |
3 |
0,16 |
2 |
2 |
2 |
0,05 |
2 |
1 |
3 |
0,04 |
2 |
2 |
2 |
0,05 |
2 |
2 |
1 |
0,02 |
1 |
1 |
1 |
0,00 |
1 |
1 |
1 |
0,00 |
|
(Kgu)N =0,92 |
|
|
4 |
4 |
4 |
0,47 |
4 |
4 |
4 |
0,47 |
3 |
3 |
4 |
0,26 |
4 |
4 |
5 |
0,59 |
5 |
2 |
3 |
0,60 |
3 |
2 |
2 |
0,09 |
4 |
3 |
2 |
0,18 |
|
(Kgu)N =0,96 |
|
|
3 |
2 |
1 |
0,04 |
3 |
2 |
1 |
0,04 |
3 |
2 |
1 |
0,04 |
3 |
2 |
1 |
0,04 |
3 |
1 |
1 |
0,02 |
3 |
2 |
1 |
0,04 |
3 |
2 |
1 |
0,04 |
3 |
2 |
1 |
0,04 |
|
(Kgu)N =0,88 |
|
|
2 |
4 |
3 |
0,17 |
1 |
1 |
2 |
0,03 |
3 |
3 |
2 |
0,13 |
1 |
1 |
1 |
0,04 |
3 |
3 |
3 |
0,19 |
3 |
4 |
3 |
0,25 |
2 |
4 |
2 |
0,12 |
|
(Kgu)N =0,96 |
|
|
5 |
5 |
3 |
0,20 |
3 |
5 |
4 |
0,46 |
4 |
5 |
5 |
0,76 |
5 |
5 |
5 |
0,96 |
3 |
4 |
3 |
0,28 |
[B.I.а.6]
[B.I.b.1]
[B.I.b.2]
[B.I.b.3]
[B.I.c.1]
[B.I.c.2]
[B.I.c.3]
[B.I.c.4]
[B.I.c.5]
[B.I.d.1]
[B.I.d.2]
[B.I.d.3]
[B.I.d.4]
[B.II.0.0]
[B.II.a.1]
[B.II.a.2]
[B.II.a.3]
[B.II.b.1]
[B.II.b.2]
[B.II.b.3]
[B.II.b.4]
[B.II.c.1]
[B.II.c.2]
[B.II.c.3]
[B.III.0.0]
[B.III.a.1]
[B.III.a.3]
[B.III.a.4]
[B.III.a.5]
[B.III.b.1]
[B.III.b.2]
[C.I.0.0]
[C.I.a.1]
[C.I.a.2]
[C.I.a.3]
[C.I.b.1]
[C.I.b.2]
[C.I.b.3]
[C.I.b.4]
[C.I.c.1]
[C.I.c.2]
[C.I.c.3]
[C.I.c.4]
[C.I.d.1]
[C.I.d.2]
[C.II.0.0]
[C.II.a.1]
[C.II.a.2]
[C.II.a.3]
[C.II.b.1]
[C.II.b.2]
[C.II.b.3]
[C.II.c.1]
[C.II.c.2]
самообучающейся сложной системы систем
при включении/выключении технических средств
при использовании технических средств охраны
при использовании средств обмена информацией
при конфигурировании и управлении сложной системы
при настройке программного обеспечения
при организации управления потоками обмена информации
при настройке технических средств
при настройке штатных средств защиты программного обеспечения
повреждение (удаление) программного обеспечения
повреждение (удаление) данных
повреждение (уничтожение) носителей информации
повреждение каналов связи
нарушения
доступа на объект
доступа к техническим средствам
соблюдения конфиденциальности
энергообеспечения
жизнеобеспечения
установки нештатного оборудования
инсталляции нештатного ПО (игрового, обучающего и др.)
обработки и обмена информацией
хранения и уничтожения носителей информации
уничтожения производственных отходов и брака
психогенные
антагонистические отношения (зависть, озлобленность, обида)
неудовлетворенность своим положением
неудовлетворенность действиями руководства
психологическая несовместимость
психические отклонения
стрессовые ситуации
сбои и отказы
отказы ТС обрабатывающих информацию
отказы ТС обеспечивающих работоспособность средств обработки
отказы ТС обеспечивающих охрану и контроль доступа
старение и размагничивание дискет и съемных носителей
старение и размагничивание жестких дисков
старение элементов микросхем
старение кабелей и соединительных линий
сбои операционных систем и СУБД
сбои прикладных программ
сбои сервисных программ
сбои антивирусных программ
сбои электропитания оборудования, обрабатывающего информацию
сбои электропитания обеспечивающего и вспомогательного оборудования
косвенные причины
критично близкое расположение техногенных сооружений
географическое положение объекта и климатические условия
гидрологическая и сейсмологическая обстановка
физический износ оборудования и сооружений
малое время наработки на отказ оборудования и ПО
повреждения жизнеобеспечивающих коммуникаций
физическое состояние субъекта
психосоматическое состояние субъекта
3 |
3 |
|
3 |
0,21 |
4 |
5 |
|
5 |
0,77 |
3 |
5 |
|
3 |
0,35 |
3 |
5 |
|
4 |
0,46 |
4 |
3 |
|
4 |
0,37 |
3 |
5 |
|
4 |
0,46 |
4 |
5 |
|
3 |
0,46 |
3 |
5 |
|
4 |
0,46 |
3 |
4 |
|
4 |
0,37 |
4 |
5 |
|
5 |
0,77 |
5 |
5 |
|
5 |
0,96 |
5 |
5 |
|
5 |
0,96 |
4 |
3 |
|
3 |
0,28 |
|
|
(Kgu)N =0,88 |
|
|
3 |
4 |
|
3 |
0,25 |
4 |
5 |
|
4 |
0,56 |
5 |
5 |
|
4 |
0,7 |
3 |
3 |
|
3 |
0,19 |
2 |
3 |
|
3 |
0,13 |
3 |
3 |
|
3 |
0,19 |
3 |
3 |
|
3 |
0,19 |
4 |
4 |
|
4 |
0,45 |
5 |
5 |
|
5 |
0,88 |
2 |
3 |
|
3 |
0,13 |
|
|
(Kgu)N =0,96 |
|
|
1 |
1 |
|
2 |
0,10 |
4 |
5 |
|
4 |
0,46 |
5 |
5 |
|
4 |
0,35 |
1 |
2 |
|
2 |
0,08 |
2 |
4 |
|
3 |
0,04 |
3 |
3 |
|
4 |
0,46 |
|
|
(Kgu)N =1 |
|
|
4 |
4 |
|
4 |
0,21 |
3 |
4 |
|
2 |
0,19 |
3 |
4 |
|
2 |
0,19 |
1 |
1 |
|
1 |
0,02 |
5 |
5 |
|
3 |
0,16 |
3 |
5 |
|
2 |
0,12 |
2 |
5 |
|
2 |
0,08 |
4 |
5 |
|
2 |
0,32 |
4 |
5 |
|
3 |
0,48 |
4 |
5 |
|
2 |
0,32 |
4 |
5 |
|
2 |
0,32 |
4 |
5 |
|
1 |
0,16 |
3 |
5 |
|
1 |
0,12 |
|
|
(Kgu)N =0,96 |
|
|
1 |
5 |
|
1 |
0,04 |
1 |
5 |
|
1 |
0,04 |
1 |
5 |
|
1 |
0,04 |
3 |
5 |
|
2 |
0,23 |
2 |
4 |
|
2 |
0,12 |
1 |
5 |
|
1 |
0,04 |
2 |
3 |
|
2 |
0,09 |
2 |
5 |
|
1 |
0,08 |
Ф-8
Перечень уязвимостей исключенных в результате анализа
Код |
Уязвимости |
|
|
|
|
[A.I.a.1] |
побочные излучения элементов технических средств |
|
[A.I.a.2] |
излучения кабельных линий технических средств |
|
[A.I.a.3] |
излучения на частотах работы генераторов |
|
[A.I.a.4] |
излучения на частотах самовозбуждения усилителей |
|
[A.I.b.1] |
наводки электромагнитных излучений на линии и |
|
проводники |
||
|
||
[A.I.b.2] |
просачивание сигналов в цепи электропитания, в цепи |
|
заземления |
||
|
||
[A.I.b.3] |
неравномерность потребления тока электропитания |
|
[A.I.c.1] |
акустические излучения |
|
[A.I.c.2] |
виброакустические излучения |
|
[A.II.b.2] |
технологические выходы из программ |
|
[A.II.b.3] |
нелегальные копии ПО |
|
[A.III.a.1] |
обладающие электроакустическими преобразованиями |
|
ТА |
||
|
||
[A.III.a.2] |
обладающие электроакустическими преобразованиями |
|
громкоговорители |
||
|
||
[A.III.a.3] |
обладающие электроакустическими преобразованиями |
|
индуктивности |
||
|
||
[A.III.a.4] |
обладающие электроакустическими преобразованиями |
|
дроссели |
||
|
||
[A.III.a.5] |
обладающие электроакустическими преобразованиями |
|
трансформаторы |
||
|
||
[A.III.b.1] |
подверженные воздействию электромагнитного поля |
|
магнитные носители |
||
|
||
[A.III.b.2] |
подверженные воздействию электромагнитного поля |
|
микросхемы |
||
|
||
[A.III.b.3] |
нелинейные элементы, подверженные ВЧ навязыванию |
|
[A.IV.a.1] |
отсутствие контролируемой зоны |
|
[A.IV.a.3] |
наличие удаленных и мобильных элементов объекта |
|
[A.IV.a.4] |
наличие вибрирующих отражающих поверхностей |
|
[A.IV.b.1] |
использование радиоканалов |
|
[A.IV.b.3] |
использование арендуемых каналов |
|
[B.I.a.1] |
при разработке алгоритмов и программного обеспечения |
|
[B.II.b.1] |
энергообеспечения |
|
[B.II.b.2] |
жизнеобеспечения |
|
[B.II.b.3] |
установки нештатного оборудования |
|
[B.II.b.4] |
инсталляции нештатного ПО (игрового, обучающего и |
|
др.) |
||
|
||
[B.II.c.3] |
уничтожения производственных отходов и брака |
|
[B.III.a.1] |
антагонистические отношения (зависть, озлобленность, |
|
обида) |
||
|
||
[B.III.a.5] |
психологическая несовместимость |
|
[B.III.b.1] |
психические отклонения |
|
[C.I.a.1] |
отказы ТС обрабатывающих информацию |
|
[C.I.a.2] |
отказы ТС обеспечивающих работоспособность средств |
|
обработки |
||
|
||
[C.I.a.3] |
отказы ТС обеспечивающих охрану и контроль доступа |
|
[C.I.b.1] |
старение и размагничивание дискет и съемных |
|
носителей |
||
|
||
[C.I.b.2] |
старение и размагничивание жестких дисков |
|
[C.I.b.3] |
старение элементов микросхем |
|
[C.I.b.4] |
старение кабелей и соединительных линий |
|
[C.I.d.1] |
сбои электропитания оборудования, обрабатывающего |
|
информацию |
||
|
||
[C.I.d.2] |
сбои электропитания обеспечивающего и |
|
вспомогательного оборудования |
||
|
||
[C.II.a.1] |
критично близкое расположение техногенных |
|
сооружений |
||
|
||
[C.II.a.2] |
географическое положение объекта и климатические |
|
условия |
||
|
||
[C.II.a.3] |
гидрологическая и сейсмологическая обстановка |
|
[C.II.b.2] |
малое время наработки на отказ оборудования и ПО |
|
[C.II.b.3] |
повреждения жизнеобеспечивающих коммуникаций |
|
[C.II.c.1] |
физическое состояние субъекта |
|
[C.II.c.2] |
психосоматическое состояние субъекта |
Описание причин исключения
Не рассматриваются, как маловероятные, так как имеют коэффициент опасности ниже порогового значения f = 0,2.
|
|
|
|
|
Ф-9 |
|
Перечень актуальных уязвимостей |
|
|
|
|
|
|
|
|
|
|
Код |
Уязвимости |
(k1)f |
(k2)f |
(k3)f |
(Kоп)f |
|
|
|
|
|
|
[A.II.a.1] |
аппаратные закладки устанавливаемые в телефонные линии |
4 |
4 |
4 |
0,47 |
[A.II.a.2] |
аппаратные закладки устанавливаемые в сети электропитания |
4 |
4 |
4 |
0,47 |
[A.II.a.3] |
аппаратные закладки устанавливаемые в помещениях |
3 |
3 |
4 |
0,26 |
[A.II.a.4] |
аппаратные закладки устанавливаемые в технических средствах |
4 |
4 |
5 |
0,59 |
[A.II.b.1] |
вредоносные программы |
5 |
2 |
3 |
0,22 |
[A.IV.a.2] |
наличие прямой видимости объектов |
4 |
4 |
3 |
0,34 |
[A.IV.b.2] |
использование глобальных информационных сетей |
3 |
4 |
3 |
0,25 |
[B.I.a.2] |
при инсталляции и загрузке программного обеспечения |
3 |
5 |
4 |
0,46 |
[B.I.a.3] |
при эксплуатации программного обеспечения |
4 |
5 |
5 |
0,76 |
[B.I.a.4] |
при вводе данных (информации) |
5 |
5 |
5 |
0,96 |
[B.I.а.5] |
при настройке сервисов универсальных систем |
3 |
4 |
3 |
0,28 |
[B.I.а.6] |
самообучающейся сложной системы систем |
3 |
3 |
3 |
0,21 |
[B.I.b.1] |
при включении/выключении технических средств |
4 |
5 |
5 |
0,77 |
[B.I.b.2] |
при использовании технических средств охраны |
3 |
5 |
3 |
0,35 |
[B.I.b.3] |
при использовании средств обмена информацией |
3 |
5 |
4 |
0,46 |
[B.I.c.1] |
при конфигурировании и управлении сложной системы |
4 |
3 |
4 |
0,37 |
[B.I.c.2] |
при настройке программного обеспечения |
3 |
5 |
4 |
0,46 |
[B.I.c.3] |
при организации управления потоками обмена информации |
4 |
5 |
3 |
0,46 |
[B.I.c.4] |
при настройке технических средств |
3 |
5 |
4 |
0,46 |
[B.I.c.5] |
при настройке штатных средств защиты программного обеспечения |
3 |
4 |
4 |
0,37 |
[B.I.d.1] |
повреждение (удаление) программного обеспечения |
4 |
5 |
5 |
0,77 |
[B.I.d.2] |
повреждение (удаление) данных |
5 |
5 |
5 |
0,96 |
[B.I.d.3] |
повреждение (уничтожение) носителей информации |
5 |
5 |
5 |
0,96 |
[B.I.d.4] |
повреждение каналов связи |
4 |
3 |
3 |
0,28 |
[B.II.a.1] |
доступа на объект |
3 |
4 |
3 |
0,25 |
[B.II.a.2] |
доступа к техническим средствам |
4 |
5 |
4 |
0,56 |
[B.II.a.3] |
соблюдения конфиденциальности |
5 |
5 |
4 |
0,7 |
[B.II.c.1] |
обработки и обмена информацией |
4 |
4 |
4 |
0,45 |
[B.II.c.2] |
хранения и уничтожения носителей информации |
5 |
5 |
5 |
0,88 |
[B.III.a.3] |
неудовлетворенность своим положением |
4 |
5 |
3 |
0,46 |
[B.III.a.4] |
неудовлетворенность действиями руководства |
3 |
5 |
3 |
0,35 |
[B.III.b.2] |
стрессовые ситуации |
3 |
5 |
4 |
0,46 |
[C.I.c.2] |
сбои прикладных программ |
4 |
5 |
3 |
0,48 |
[C.I.c.3] |
сбои сервисных программ |
4 |
5 |
2 |
0,32 |
[C.I.c.4] |
сбои антивирусных программ |
4 |
5 |
2 |
0,32 |
[C.II.b.1] |
физический износ оборудования и сооружений |
3 |
5 |
2 |
0,23 |
Ф-5
Перечень актуальных угроз
Код
(i)
[I.A.1]
[I.A.2]
[I.A.3]
[II.B.1]
[I.B.1]
[II.B.2]
Источники угроз |
(k1)i |
(k2)i |
(k3)i |
(Коп)I |
|
|
|
|
|
вредоносные программы |
4 |
4 |
3 |
0,21 |
аппаратные закладки устанавливаемые в технических средствах |
4 |
5 |
4 |
0,20 |
недобросовестные партнеры |
4 |
3 |
4 |
0,18 |
некачественные технические средства обработки информации |
3 |
4 |
3 |
0,30 |
сбои прикладных программ |
5 |
4 |
3 |
0,19 |
некачественные программные средства обработки информации |
2 |
3 |
4 |
0,20 |
|
|
Ф-10 |
Перечень возможных атак |
||
|
|
|
Код атаки |
|
|
Код |
Код метода |
Код |
источника |
реализации |
уязвимости |
угрозы |
|
|
При реализации угрозы «вредоносные |
||
|
программы» |
|
[I.A.1] |
[M2.A.04] |
[B.I.d.4] |
[I.A.2] |
[M1.B.03] |
[B.II.c.2] |
[I.A.3] |
[M3.A.09] |
[B.III.a.4] |
[I.B.1] |
[M2.B.01] |
[A.II.a.3] |
При реализации угрозы «аппаратные закладки устанавливаемые в технических средствах»
[I.B.1] |
[M3.A.04] |
[A.IV.b.2] |
[I.B.2] |
[M3.A.05] |
[B.I.b.1] |
[I.B.2] |
[M4.A.05] |
[B.III.a.4] |
При реализации угрозы «недобросовестные партнеры»
[I.A.1] |
[M3.A.07] |
[B.I.c.5] |
[I.A.2] |
[M3.A.01] |
[B.III.a.3] |
[I.A.4] |
[M3.A.08] |
[B.I.c.4] |
[I.B.2] |
[M3.A.10] |
[B.II.a.2] |
При реализации угрозы «некачественные технические средства обработки информации»
[I.A.1] |
[M3.A.07] |
[B.I.d.1] |
[I.A.2] |
[M3.A.11] |
[B.I.a.3] |
При реализации угрозы «сбои прикладных программ»
[I.A.1] |
[M3.A.08] |
[B.I.c.5] |
[I.A.3] |
[M3.A.10] |
[B.III.a.4] |
При реализации угрозы «некачественные программные средства обработки информации»
|
[I.A.1] |
[M3.A.05] |
[C.I.c.2] |
|
[I.A.2] |
[M3.A.10] |
[A.II.b.1] |
|
[I.A.4] |
[M3.A.01] |
[B.I.c.5] |
|
[I.B.2] |
[M3.A.10] |
[B.III.b.2] |