risks
.doc
Оценка рисков информационной безопасности банка
-
Примерная форма документирования данных и результатов оценки СВР угроз ИБ
Тип информ. актива |
Тип объекта среды |
Источник угрозы среды |
Свойства ИБ информационного актива |
Способ реализации угроз ИБ |
Используемые априорные защитные меры |
Прочие данные, определяющие СВР угроз ИБ |
Оценка СВР угроз ИБ |
Персональные данные |
Линии связи и сети передачи данных |
Превышение допустимой нагрузки |
Целостность |
Порча либо уничтожение данных |
Систематическая проверка сетей, использование качественного оборудования |
Нет данных |
Высокая |
Несанкционированный физический доступ |
Конфиденциальность |
Перехват данных |
Защита сетей специальными средствами |
|
Минимальная |
||
Нарушение функциональности криптографической системы |
Конфиденциальность |
Несанкционированное копирование |
Проверка работоспособности система, постоянное обновление |
|
Средняя |
||
Файлы данных, базы данных, хранилища данных |
Выполнение вредоносных программ |
Целостность |
Порча либо уничтожение данных |
Установка и обновление мощных антивирусов и фаерволов |
Пользователь, имеющий доступ к системе, может занести туда вирус случайным образом на каком-либо носителе |
Средняя |
|
Несанкционированный физический доступ |
Конфиденциальность |
Несанкционированное копирование |
Защита данных паролями |
|
Средняя |
||
Использование информационных активов не по назначению |
Конфиденциальность |
Несанкционированное копирование |
Администрирование и протоколирование обращения к данным |
Пользователь может использовать данные не по назначению, используя их в личных целях |
Минимальная |
||
Носители информации, в том числе бумажные носители
|
Хищение |
Конфиденциальность |
Несанкционированное копирование |
Хранить данные в специальном месте (бумажные документы – в сейфах, к электронным ограничить доступ, увеличить степень защиты) |
|
Минимальная |
|
Неконтролируемое уничтожение информационного актива |
Целостность |
Уничтожение данных |
Ввести ответственность (материальную) за уничтожение данных |
|
Минимальная |
||
Промышленный шпионаж |
Конфиденциальность |
Несанкционированное копирование |
Выделение точек фокуса (людей, которые могут иметь отношение к промышленному шпионажу) и усилить степень наблюдения за ними |
Сложно вычислить «шпиона» |
Средняя |
-
Примерная форма документирования данных и результатов оценки СТП нарушения ИБ
Тип информ. актива |
Тип объекта среды |
Источник угрозы среды |
Свойства ИБ информационного актива |
Используемые апостериорные защитные меры |
Оценка СТП нарушения ИБ |
Персональные данные |
Линии связи и сети передачи данных |
Превышение допустимой нагрузки |
Конфиденциальность |
- |
Минимальная |
Целостность |
Восстановление файлов |
Высокая |
|||
Доступность |
- |
Минимальная |
|||
Несанкционированный физический доступ |
Конфиденциальность |
- |
Высокая |
||
Целостность |
Резервирование и контрольное суммирование файлов данных |
Средняя |
|||
Доступность |
Резервирование файлов |
Средняя |
|||
Нарушение функциональности криптографической системы |
Конфиденциальность |
- |
Высокая |
||
Целостность |
Восстановление системы (либо приобретение новой) |
Средняя |
|||
Доступность |
- |
Минимальная |
|||
Файлы данных, базы данных, хранилища данных |
Выполнение вредоносных программ |
Конфиденциальность |
Усилить защиту файлов программными средствами |
Средняя |
|
Целостность |
Восстановление поврежденных файлов |
Средняя |
|||
Доступность |
- |
Минимальная |
|||
Несанкционированный физический доступ |
Конфиденциальность |
Усилить защиту файлов программными средствами |
Высокая |
||
Целостность |
- |
Средняя |
|||
Доступность |
Уменьшить степень доступности. Ограничить круг лиц, которые имеют доступ к файлам |
Средняя |
|||
Использование информационных активов не по назначению |
Конфиденциальность |
Усилить степень защиты, либо ввести меры наказания за некорректное использование |
Высокая |
||
Целостность |
- |
Средняя |
|||
Доступность |
Перенести файлы в другое место, ограничить доступ |
Высокая |
|||
Носители информации, в том числе бумажные носители |
Хищение |
Конфиденциальность |
- |
Высокая |
|
Целостность |
- |
Высокая |
|||
Доступность |
Ограничить доступ к файлам. Усилить степень защиты |
Высокая |
|||
Неконтролируемое уничтожение информационного актива |
Конфиденциальность |
- |
Средняя |
||
Целостность |
Попытка восстановить файл |
Средняя |
|||
Доступность |
Ограничить доступ |
Средняя |
|||
Промышленный шпионаж |
Конфиденциальность |
Усилить степень защиты |
Высокая |
||
Целостность |
- |
Средняя |
|||
Доступность |
Жесткое ограничение доступа |
Высокая |
-
Примерная форма документирования результатов оценки рисков нарушения ИБ
Тип информ. актива |
Тип объекта среды |
Источник угрозы среды |
Свойства ИБ информационного актива |
Способ реализации угроз ИБ |
Оценка СВР угроз ИБ |
Оценка СТП нарушения ИБ |
Оценка рисков нарушения ИБ |
Персональные данные |
Линии связи и сети передачи данных |
Превышение допустимой нагрузки |
Целостность |
Несанкционированное копирование |
Высокая |
Высокая |
Недопустимый |
Несанкционированный физический доступ |
Целостность |
Несанкционированное копирование |
Высокая |
Средняя |
Недопустимый |
||
Нарушение функциональности криптографической системы |
Целостность |
Несанкционированное копирование |
Высокая |
Средняя |
Недопустимый |
||
Файлы данных, базы данных, хранилища данных |
Выполнение вредоносных программ |
Целостность |
Несанкционированное копирование |
Средняя |
Средняя |
Допустимый |
|
Несанкционированный физический доступ |
Целостность |
Несанкционированное копирование |
Высокая |
Средняя |
Недопустимый |
||
Использование информационных активов не по назначению |
Целостность |
Несанкционированное копирование |
Средняя |
Средняя |
Допустимый |
||
Носители информации, в том числе бумажные носители |
Хищение |
Целостность |
Несанкционированное копирование |
Высокая |
Высокая |
Недопустимый |
|
Неконтролируемое уничтожение информационного актива |
Целостность |
Несанкционированное копирование |
Минимальная |
Средняя |
Допустимый |
||
Промышленный шпионаж |
Целостность |
Несанкционированное копирование |
Средняя |
Средняя |
Допустимый |