Комплекс лабораторных работ «Изучение менеджмента рисков информационной безопасности». Ч.1. Методические указания по выполнению лабораторных работ

−параметры страницы (отступы и межстрочные интервалы);

−порядок заверения копий.

Общие требования к оформлению документов закреплены в ГОСТ Р

7.0.97-2016 [1].

1.Возможность создания документов как на бумажном носителе, так и в электронной форме. Требования к содержанию документа на бумажном носителе

ив электронной форме отличаются в значительной мере технологиями их создания и обеспечения безопасности.

2.При создании документа на двух и более страницах нумеруются вторая и последняя. «Номера страниц проставляются посередине верхнего поля документа на расстоянии не менее 10 мм от верхнего края листа».

3.Допускается создание документов на лицевой и оборотной сторонах листа. При двустороннем создании документов ширина левого поля на лицевой стороне листа и правого поля на оборотной стороне листа должны быть одинаковы, что необходимо при формировании дела, подшивании документов.

4.Для создания документов необходимо использовать свободно распространяемые бесплатные шрифты, размерами № 12, 13, 14 в зависимости от размера бумаги, на которой выполняется документ. Допускается использование шрифтов меньшего размера при составлении таблиц.

5.Размещение реквизитов зависит от их вида. Общим требованием к размещению реквизитов является применение одного межстрочного интервала к многострочным реквизитам и отделение дополнительным интервалом составных частей реквизитов

Рассмотрим общие требования к реквизиту 18 «текст документа»:

−размещается с абзацным отступом – 1,25 см;

−печатается через 1 – 1,5 межстрочных интервалов, если документ готовится для издания с уменьшением масштаба, текст печатается через два интервала;

−интервал между буквами в словах – обычный;

−заголовки разделов и подразделов печатаются с абзацным отступом или центрируются по ширине текста;

−интервал между словами – один пробел;

−текст документа выравнивается по ширине листа (по границам левого и правого полей документа);

−длина самой длинной строки реквизита при угловом расположении реквизитов не должна превышать 7,5 см, при продольном расположении реквизитов

–не более 12 см;

−нормативные акты организации, а также иные многостраничные документы могут оформляться с титульным листом в соответствии приложением А к ГОСТ Р 7.0.97-2016 [1].

Согласно ГОСТ Р 7.0.97-2016 [1] организация своими нормативными актами может предусмотреть выделение реквизитов 15 «адресат», 17 «заголовок к тексту», 22 «подпись» и отдельных фрагментов текста полужирным шрифтом.

31

Общим требованием, применяемым при оформлении организационно-рас- порядительной документации, является использование реквизитов. Неизменяемая часть реквизита документа, содержащаяся в бланке, наносится при его изготовлении. Изменяемая часть реквизита документа, вносимая в бланк документа при его заполнении.

При составлении документов используются следующие реквизиты со-

гласно ГОСТ Р 7.0.97-2016 [1]:

01 – герб (Государственный герб Российской Федерации, герб субъекта Российской Федерации, герб (геральдический знак) муниципального образования);

02 – эмблема;

03 – товарный знак (знак обслуживания);

04 – код формы документа;

05 – наименование организации – автора документа;

06 – наименование структурного подразделения – автора документа;

07 – наименование должности лица – автора документа;

08 – справочные данные об организации;

09 – наименование вида документа;

10 – дата документа;

11 – регистрационный номер документа; 12 – ссылка на регистрационный номер и дату поступившего документа;

13 – место составления (издания) документа;

14 – гриф ограничения доступа к документу;

15 – адресат;

16 – гриф утверждения документа;

17 – заголовок к тексту;

18 – текст документа;

19 – отметка о приложении;

20 – гриф согласования документа;

21 – виза; [9]

Лабораторная работа № 3 «Изучение процессов оценки угроз безопасности и автоматического формирования перечня угроз безопасности информации»

Угроза – совокупность условий и факторов, которые могут стать причиной нарушения целостности, доступности, конфиденциальности (п. А10 ГОСТ Р ГОСТ Р 53114-2008) [4].

Определение источников угроз безопасности информации. Источни-

ками могут являться элементы внешней и внутренней среды организации, что и определяет возможности потенциального нарушителя.

Источник риска (фактор риска, или риск-фактор) – объект, ситуация или действие, которые самостоятельно или в комбинации могут повлечь за собой риск (п. 4.5.1.2 ГОСТ Р 51897-2021) [8].

Методический документ [6] в качестве источников угроз безопасности информации рассматривает только антропогенный фактор, при этом в случае, если

32

к системам и сетям предъявлены требования к устойчивости и надежности функционирования (в части целостности и доступности информационных ресурсов и компонентов систем и сетей), дополнительно к антропогенным источникам угроз безопасности информации в качестве актуальных могут быть определены техногенные источники (физические явления, материальные объекты). Угрозы безопасности информации, связанные с техногенными источниками, включаются в модель угроз безопасности информации по решению обладателя информации или оператора систем и сетей.

В ходе оценки УБИ, согласно Методическому документу, решаются стандартные задачи, при этом, как говорилось ранее, особое внимание уделяется антропогенному фактору, то есть оценке нарушителя. Нарушитель разделяется по видам и уровням возможностей (Н1 – Н4). Так, например, нарушитель, которому присваиваются базовые возможности (Н1), охарактеризован следующим образом:

−имеет возможность при реализации угроз безопасности информации использовать только известные уязвимости, скрипты и инструменты;

−имеет возможность использовать средства реализации угроз (инструменты), свободно распространяемые в сети "Интернет" и разработанные другими лицами, имеет минимальные знания механизмов их функционирования, доставки и выполнения вредоносного программного обеспечения, эксплойтов;

−обладает базовыми компьютерными знаниями и навыками на уровне пользователя;

−имеет возможность реализации угроз за счет физических воздействий на технические средства обработки и хранения информации, линий связи и обеспечивающие системы, систем и сетей при наличии физического доступа к ним.

Внешние нарушители – нарушители, не имеющие прав доступа в контролируемую (охраняемую) зону (территорию) и (или) полномочий по доступу к информационным ресурсам и компонентам систем и сетей, требующим авторизации.

Внутренние нарушители – нарушители, имеющие права доступа в контролируемую (охраняемую) зону (территорию) и (или) полномочия по автоматизированному доступу к информационным ресурсам и компонентам систем и сетей.

Характеристики внешнего и внутреннего нарушителя представлена в таблице А.1.

Таблица А.1 – Характеристики нарушителей

Результатами определения источников угроз безопасности информации являются:

−виды актуальных нарушителей и возможные цели реализации ими угроз безопасности информации, а также их возможности;

−категории актуальных нарушителей, которые могут реализовывать угрозы безопасности информации, в том числе непреднамеренные угрозы.

Определение угроз безопасности информации. На вероятность возник-

новения конкретной угрозы оказывают влияние следующие факторы:

−привлекательность актива или возможное воздействие – применимо при рассмотрении умышленных действий (преднамеренных действий по реализации угрозы) со стороны персонала;

−простота преобразования актива, использующего уязвимость за вознаграждение, – применимо при рассмотрении умышленной угрозы со стороны персонала;

−технические возможности действующего фактора угрозы – применимо при рассмотрении умышленной угрозы со стороны персонала;

−чувствительность уязвимости к использованию – применимо к техническим и нетехническим уязвимостям.

Основным документом, устанавливающим порядок определения антропогенных УБИ для автоматизированных систем обработки информации, является Методика оценки угроз безопасности информации, утвержденная ФСТЭК России 5 февраля 2021 г [6]. Документ, определяет порядок выполнения работ по оценке УБИ на социально значимых объектах, а именно: ИСПДн, ГИС МИС, объекты КИИ, автоматизированные системы управления (далее – АСУ) производством. В иных случаях, согласно законодательству, решение об оценке рисков принимается владельцем информации.

Выявление уязвимостей. На этапе анализа риска устанавливаются уязвимости системы и, поскольку вероятность нанесения ущерба возникает только при наличии соответствующей уязвимости угрозы, – актуальные УБИ. Представленная в определении схема отражена в упрощенном виде в Методике оценки угроз безопасности информации как задачи, решаемые в ходе оценки УБИ. Выявление уязвимостей осуществляется в зависимости от представленных в пункте

8.2.1.5ГОСТ Р ИСО/МЭК 27005-2010 [3] областей:

−организация работ;

−процессы и процедуры;

−установившийся порядок управления;

−персонал;

−физическая среда;

−конфигурация информационной системы;

34

−аппаратные средства, программное обеспечение и аппаратура связи;

−зависимость от внешних сторон.

Уязвимость – присущие свойства объекта, определяющие его чувствительность к источнику риска, которая может привести к событиям, влекущим по-

следствия (п. 4.6.1.5 ГОСТ Р 51897-2021 [8]).

Так как уязвимость принадлежит активу, необходимо проведение его всестороннего анализа, в том числе и тех свойств, которые присущи активу, но не используются.

В результате реализации данного этапа должны быть определены следующие перечни уязвимостей:

−перечень уязвимостей, связанных с активами, угрозами, мерами и средствами контроля и управления;

−перечень уязвимостей, не связанных с выявленной угрозой, подлежащей рассмотрению.

Угрозы ИБ, согласно Методическому документу, оцениваются экспертным методом, но при детальной оценке риска, описанной в ГОСТ Р ИСО/МЭК 27005-2010 [3], могут применяться и другие методы, представленные на рисунке 5. При этом в обязательном порядке устанавливаются временные пределы сохранения ценности активов и необходимости обеспечения в отношении них соответствующего уровня защиты.

Рисунок 5 – Методы оценки риска

35

36

38

39

40