7. Идентификация перечня угроз

Тип ресурса

ID

Угроза

Детальная цель контроля (CobIT 4.1)

Угрозы

Прикладная система

T-SY-

Угроза вирусного заражения

DS 5.1. Управление ИТ-безопасностью

1

Хранилище данных

T-BD-

Угроза уязвимостей СУБД

DS 5.6. Определение инцидентов в сфере

1

безопасности

T-BD-

DDoS-атака на сервер

DS 3.5. Мониторинг и отчетность

2

T-BD-

Ошибки в настройке серверов

DS 11.6. Требования по безопасности к управлению

3

данными

T-BD-

НСД

DS 5.3. Управление идентификацией

4

T-BD-

Хищение носителей информации

DS 11.3. Управление библиотекой носителей данных

5

Оборудование

T-EQ-

Пользователь совершает действия, не предусмотренные инструкциями

AI 2.2. Детальный дизайн приложений

1

T-EQ-

Ошибки в настройке системы

AI 3.3. Обслуживание инфраструктуры

2

T-EQ-

Слабые пароли

DS 5.4. Управление учетными записями пользователей

3

Канал коммуникаций

T-CC-

Ошибки конфигурирования

DS 5.10. Сетевая безопаснсость

1

T-CC-

Обход злоумышленником защиты сетевого экрана

DS 5.6. Определение инцидентов в сфере

2

безопасности

Персонал

T-P-1

Персонал записывает пароли на бумаге

DS 7.2. Проведение тренингов и обучение

T-P-2

Персонал забывает пароли

DS 5.4. Управление учетными записями пользователей

ID

Критерий

Вероятность

Целостность

Конфиденциальность

Доступность

Насколько часто

Если реализуется данная угроза,

Может ли данная угроза привести к

Если

данная

угроза

реализуется

может ли это привести к

тому что ресурс станет доступен для

реализуется,

насколько

данная угроза для

искажению данных и насколько

широкого круга сотрудников или

долгим

будет

простой

Вопрос

данного ресурса?

сильными могут быть эти

внешних людей? (0 -

системы? (0

-

простоя

(0 - никогда, 3 -

искажения данных? (0 - не

конфиденциальность ресурса

не будет, 3 - простой

очень часто)

произойдет, 3 - достаточно

сохранится, 3 - скорее всего ресурс

будет длительным)

серьезные)

станет доступен для НСД)

T-SY-1

Угроза вирусного заражения

2

2

1

2

T-BD-1

Угроза уязвимостей СУБД

1

2

2

2

T-BD-2

DDoS-атака на сервер

2

1

2

2

T-BD-3

Ошибки в настройке серверов

1

1

2

1

T-BD-4

НСД

1

3

1

2

T-BD-5

Хищение носителей информации

2

3

2

3

T-EQ-1

Слабые пароли

1

1

2

0

T-EQ-2

Пользователь совершает

действия,

1

1

0

1

не предусмотренные инструкциями

T-EQ-3

Ошибки в настройке системы

1

1

1

1

T-CC-1

Ошибки конфигурирования

3

3

2

3

T-CC-2

Обход злоумышленником

защиты

1

0

2

0

сетевого экрана

T-P-1

Персонал записывает пароли на

2

0

3

1

бумаге

T-P-2

Персонал забывает пароли

2

2

3

2

ID ресурса

Ресурс

Тип ресурса

ID Угрозы

Угроза

Вероятность

Целостность

Конфиденциа

Доступность

льность

R-SY-1

Программный модуль

Угроза вирусного заражения

"Администратор"

R-SY-3

Linux Сервер

Прикладная система

T-SY-1

2

2

1

2

R-SY-4

Клиент-Сервер

R-SY-6

Облачный сервис "Panda Systems

Management"

R-BD-1

Web-Сервер

T-BD-1

Угроза уязвимостей СУБД

1

2

2

2

R-BD-2

Сервер БД

T-BD-2

DDoS-атака на сервер

2

1

2

2

Жесткий диск компьютера

T-BD-3

Ошибки в настройке серверов

1

1

2

1

администратора/сотрудника

Хранилище данных

R-BD-3

T-BD-4

НСД

1

3

1

2

T-BD-5

Хищение носителей информации

2

3

2

3

R-EQ-1

Web-Сервер

T-EQ-1

Пользователь совершает действия, не предусмотренные

1

1

2

0

инструкциями

R-EQ-2

Компьютер администратора

T-EQ-2

Ошибки в настройке системы

1

1

0

1

R-EQ-3

Сервер БД

Оборудование

Слабые пароли

T-EQ-3

1

1

1

R-EQ-4

Компютер сотрудника

1

R-CC-1

Локальная сеть

T-CC-1

Ошибки конфигурирования

3

3

2

3

Канал коммуникаций

R-CC-2

Глобальная сеть

T-CC-2

Обход злоумышленником защиты сетевого экрана

1

0

2

0

R-P-1

Системный администратор

T-P-1

Персонал записывает пароли на бумаге

2

0

3

1

R-P-2

Администратор БД

Персонал забывает пароли

2

Персонал

R-P-3

Web-администратор

T-P-2

2

3

2

ID

ID

ID

Оценка

ID риска

Бизнес-операция

Ресурс

Тип ресурса

Угроза

эффективности

сервиса

ресурса

Угрозы

контролей

RSK-1

Администрирование

S1

R-SY-1

Программный модуль

Прикладная

T-SY-1

Угроза вирусного заражения

1

web-сервера

"Администратор"

система

RSK-2

Мониторинг

S1

R-SY-2

Сервис "Pingdom"

Прикладная

T-SY-1

Угроза вирусного заражения

1

webсервера

система

RSK-3

Мониторинг работы

S2

R-SY-3

Linux Сервер

Прикладная

T-SY-1

Угроза вирусного заражения

1

сервера

система

RSK-4

Внесение данных в БД

S3

R-SY-4

Клиент-Сервер

Прикладная

T-SY-1

Угроза вирусного заражения

1

система

RSK-6

Удаленное

S5

R-SY-6

Облачный сервис "Panda Systems

Прикладная

T-SY-1

Угроза вирусного заражения

1

централизованное

Management"

система

RSK-7

Администрирование

S1

R-BD-1

Web-Сервер

Хранилище данных

T-BD-2

DDoS-атака на сервер

2

web-сервера

RSK-8

Внесение данных в БД

S3

R-BD-2

Сервер БД

Хранилище данных

T-BD-1

Угроза уязвимостей СУБД

1

RSK-9

Удаленное

S5

R-BD-3

Жесткий диск компьютера

Хранилище данных

T-BD-4

НСД

2

централизованное

администратора/сотрудника

RSK-10

управление установкой

S1

R-EQ-1

Web-Сервер

Оборудование

T-EQ-2

Ошибки в настройке системы

Мониторинг

2

webсервера

RSK-11

Регистрация и

S3

R-EQ-2

Компьютер администратора

Оборудование

T-EQ-1

Пользователь совершает действия,

идентификация

не предусмотренные

1

пользователей

инструкциями

RSK-12

Мониторинг работы

S2

R-EQ-3

Сервер БД

Оборудование

T-EQ-2

Ошибки в настройке системы

2

сервера

RSK-13

Удаленное

S5

R-EQ-4

Компьютер сотрудника

Оборудование

T-EQ-3

Слабые пароли

централизованное

3

управление установкой

и обновлением ПО

RSK-14

Мониторинг работы

S2

R-CC-1

Локальная сеть

Канал

T-CC-1

Ошибки конфигурирования

2

сервера

коммуникации

RSK-15

Регистрация и

S3

R-CC-2

Глобальная сеть

Канал

T-CC-2

Обход злоумышленником защиты

идентификация

коммуникации

сетевого экрана

1

пользователей

RSK-16

Удаленное

S5

R-P-1

Системный администратор

Персонал

T-P-2

Персонал забывает пароли

централизованное

2

управление установкой

и обновлением ПО

RSK-17

Внесение данных в БД

S3

R-P-2

Администратор БД

Персонал

T-P-2

Персонал забывает пароли

2

RSK-18

Администрирование

S1

R-P-3

Web-администратор

Персонал

T-P-1

Персонал записывает пароли на

1

web-сервера

бумаге

Общая

оценка

Целостность

Конфиденциаль

Доступность

Целостност

Конфиденциал

Доступность

Вероятность

Целостность

Конфиденциаль

Доступность

риска

ность

ь

ьность

ность

1,83

2

1,5

2

2

2

2

2

2

1

2

2,00

2,5

1,5

2

3

2

2

2

2

1

2

2,00

2

1,5

2,5

2

2

3

2

2

1

2

2,17

2,5

1,5

2,5

3

2

3

2

2

1

2

1,83

1,5

2

2

1

3

2

2

2

1

2

2,17

2,5

1,5

2,5

3

2

3

2

2

1

2

1,83

1,5

2

2

2

2

2

2

1

2

2

2,33

2,5

2

2,5

3

2

3

1

2

2

2

2,33

3

1,5

2,5

3

2

3

1

3

1

2

1,67

2

1,5

1,5

3

2

2

1

1

1

1

1,67

2

1

2

3

2

3

1

1

0

1

1,67

1,5

1,5

2

2

2

3

1

1

1

1

1,83

2

2

1,5

3

2

3

1

1

2

0

2,50

2,5

2

3

2

2

3

3

3

2

3

1,67

1,5

2

1,5

3

2

3

1

0

2

0

2,50

2,5

2,5

2,5

3

2

3

2

2

3

2

2,50

2,5

2,5

2,5

3

2

3

2

2

3

2

1,67

1

2,5

1,5

2

2

2

2

0

3

1

P - прямое соответствие, S - косвенное соответствие

Бизнес-цели предприятия

Непрерывность и

Улучшение

Оптимизация

Соответствие

бесперебойность

качества

затрат на

законам и иным

оказания услуг

предоставляемых

предоставление

нормативным

ИТ-цели (по CobIT 5)

услуг

услуг

актам

Соответствие между ИТ- и бизнес стратегиями

P

P

Следование внешнему законодательству и

регулирующим требованиям в области ИТ

S

S

P

и поддержка бизнес-соответствия

Управляемые ИТ-риски

P

S

P

S

Предоставление ИТ-услуг в соответствии с

S

P

P

S

бизнестребованиями

Адекватное

использование

приложений,

P

S

S

S

информации и технических решений

Безопасность обрабатываемой информации

S

P

Обеспечение работы и поддержка бизнес-процессов,

путем интеграции приложений и технологий в

P

P

S

бизнеспроцессы

P - прямое соответствие, S -

ИТ-цели (по CobIT 5)

косвенное соответствие

Соответствие

Следование внешнему

Управляемы

Предоставление

Адекватное

Безопасность

Обеспечение работы и

между ИТ- и

законодательству и

е ИТ-риски

ИТуслуг

в

использование

обрабатываемой

поддержка

бизнес

регулирующим

соответствии

с

приложений,

информации

бизнеспроцессов, путем

ИТ-процессы (по CobIT 5)

стратегиями

требованиям в области ИТ

бизнестребованиями

информации и

интеграции приложений и

и поддержка

технических

технологий в

бизнессоответствия

решений

бизнеспроцессы