3.4. Классификация уязвимостей безопасности
Угрозы, как возможность осуществления любого действия, направленного против объекта защиты, проявляются не сами по себе, а через уязвимости (факторы), которые приводят к нарушению безопасности информации на конкретном объекте информатизации.
Уязвимости, свойственные объекту информатизации, неотделимы от него и обусловлены недостатками процесса функционирования, свойствами архитектуры автоматизированных систем, протоколами обмена и интерфейсами, программным обеспечением и аппаратной платформой, условиями эксплуатации и расположения.
Источники угроз могут использовать уязвимости для нарушения безопасности информации, получения незаконной выгоды (нанесение убытков владельцу, пользователю информации). Кроме того, возможны не преднамеренные действия источников угроз по активизации тех или иных уязвимостей.
Рис. 3.4.Классификация уязвимостей информационной безопасности
Каждой угрозе могут быть сопоставлены различные уязвимости. Устранение или существенное ослабление уязвимостей влияет на возможность реализации угроз безопасности информации.
Для удобства анализа уязвимости разделенны на классы (отражаются заглавными буквами), группы (отражаются римскими цифрами) и подгруппы (отражаются маленькими буквами). Уязвимости безопасности информации могут быть: объективными, субъективными, случайными (рис. 3.4).
Объективные уязвимости зависят от особенностей построения и технических характеристик оборудования, которое применяется на объекте защиты. Полное устранение этих уязвимостей невозможно, но они могут существенно снизиться техническими и инженерно-техническими методами отражения угроз безопасности информации.
Субъективные уязвимости зависят от действий сотрудников и, в основном, изымаются организационными и программно-аппаратными методами.
Случайные уязвимости зависят от особенностей среды, которая окружает объект защиты, и непредвиденных обстоятельств. Эти факторы, как правило, мало предполагаемые и их устранение возможно только при проведении комплекса организационных и инженерно-технических мероприятий из противодействия угрозам информационной безопасности.