- •1.Сущность, цели и задачи организации комплексной системы защиты информации.
- •2.Назначение комплексности при построении системы защиты информации.
- •3.Значение основных положений современной теории защиты информации для организации.
- •4.Значение современной теории систем для организации и обеспечения функционирования ксиб.
- •5. Этапы разработки ксиб.
- •6. Факторы, оказывающие влияние на организацию ксиб
- •7. Структура угроз для информационных ресурсов.
- •8. Сущность, цели и задачи организации комплексной системы защиты информации.
- •Основные цели системы защиты информации
- •Основные задачи систем защиты информации
- •2. Защита содержания информации
- •9. Назначение комплексности при построении системы защиты информации.
- •10. Значение основных положений современной теории защиты информации для организации.
- •1. Контроль выполнения требований, предъявляемых к персоналу, допущенного к конфиденциальной информации:
- •2. Контроль организации и обеспечения работы с конфиденциальной информацией:
- •3. Контроль соответствия размещения, охраны, специального оборудования помещений требованиям информационной безопасности:
- •4. Контроль выполнения основных специальных требований по размещению и монтажу оборудования информационных систем:
- •12. Этапы разработки ксиб.
- •13. Факторы, оказывающие влияние на организацию ксиб.
- •14. Основные принципы организации ксиб.
- •16. Основные группы требований к ксиб.
- •17. Требования к комплексной защите применительно к различным защищаемым элементам объекта.
- •18. Факторы, определяющие состав защищаемой информации.
- •19. Методология Клеменса при определении эффективности защиты ис.
- •20. Основные этапы работы по выявлению состава защищаемой информации
- •21. Качественный анализ рисков по методологии Фишера.
- •22. Управление рисками и построение графа компрометации.
- •23. Структуризация объекта защиты и ее значение.
- •24. Методология Хоффмана при определении эффективности защиты ис.
- •25 Методы выявления состава защищаемых элементов.
- •26 Какими факторами определяется состав угроз безопасности предприятия?
- •27Какова процедура выявления каналов несанкционированного доступа к информации на предприятии?
- •28. Чем определяется состав нарушителей и как осуществляется их категорирование?
- •29. Моделирование угроз иб и защита
- •30. Каким образом может проводиться оценка степени уязвимости информации в результате действий нарушителей различных категорий?
- •32. Метод экспертных опросников для определения качества ксиб.
- •33. Определение функций защиты. Полнота функций
- •34. Какие критерии положены в основу классификации каждой группы средств, входящих в состав ксиб? Выбор оптимальной эффективности и критерии оптимальности ксзи
- •35. Какие требования предъявляются к выбору методов и средств защиты при организации и функционировании ксиб?
- •36. Как определяются условия функционирования ксиб?
- •37. Этапы разработки модели ксзи.
- •Принцип простоты Этапы разработки ксзи
- •38. Определите значение моделирования объектов и процессов защиты при построении ксиб.
- •39. Какие компоненты входят в состав информационной модели ксиб?
- •40. Каково общее содержание схемы технологического и организационного построения ксиб?
- •Организационное построение
- •41. Требования, предъявляемые к сотрудникам, обеспечивающим функционирование ксиб.
- •42. Нормативные документы, регламентирующие деятельность и взаимодействие персонала по комплексной защите информации.
- •43. Особенности мотивации деятельности персонала, связанного с защитой информации.
29. Моделирование угроз иб и защита
1.определение реестра угроз в соответствии с целями и задачами защиты и здравым смыслом: сначала необходимо определить актуальность угроз. Определение реестра угроз – аналог составления Перечня: - опрос специалистов. – результаты передаем главным специалистам для анализа.
2.Создав реестр угроз, необходимо определить вероятные источники основных угроз, т.е. каждой угрозе ставим в соответствие определенный источник.
3.Затем определение моделей нарушителей (квалификация злоумышленника, оснащение, цели и способы действий).
По Торокину различаются группы моделей:
- моделирование физического проникновения(внешний, внутренний враг)
- моделирование ТКУИ.
4. Моделирование организационно-технических мероприятий по ЗИ.
5. Управление рисками: 4.1. Оценка рисков. Риск – вероятн6ость потерь, нанесения ущерба. Двухфакторный анализ: Ругрозы*Цинф., или Трехфакторный: Ругрозы*Цинф.*Руязвимости. 4.2. Выбор политики управления рисками. Наиболее часто применяемым инструментом риск-менеджмента является страхование. Страхование предполагает передачу ответственности за возмещение предполагаемого ущерба сторонней организации (страховой компании). Примерами других инструментов могут быть: отказ от чрезмерно рисковой деятельности (метод отказа), профилактика или диверсификация (метод снижения), аутсорсинг затратных рисковых функций (метод передачи),формирование резервов или запасов (метод принятия).
30. Каким образом может проводиться оценка степени уязвимости информации в результате действий нарушителей различных категорий?
Для оценки степени уязвимости информации возможно использование рехфакторного анализа – оценки рисков по величинам вероятности угрозы, вероятности уязвимости (использования нарушителем определенного канала утечки) и цене потери. Рассмотрим пример такой оценки:
Носитель |
Цена |
Угроза |
Модель нарушителя |
Вероятность |
Риск |
Ранги рисков |
Политика управления |
|
Угроза |
Уязвимость |
|||||||
Бумажный документ |
Высокая |
кража |
Малооопытный нарушитель(«внешний») |
0,1 |
0,1 |
0,01 |
4 |
Политика принятия риска |
Злоумышленник-профессионал(«внешний») |
0,1 |
0,5 |
0,05 |
2,5 |
Политика принятия риска |
|||
Рядовой сотрудник |
0,6 |
0,5 |
0,4 |
1 |
Политика снижения риска |
|||
Топ-менеджер |
0,3 |
0,8 |
0,05 |
2,5 |
Политика принятия риска |
|||
Нарушители делятся на две категории: внешние и внутренние. Из данного примера следует, что вероятности кражи бумажного документа высокой ценности для каждой категории нарушителей разная. Это обусловлено тем, что внешние нарушители не знают о ценности документа и могут украсть его случайно(вероятность угрозы), но у злоумышленника профессионала больше шансов обойти систему защиты(вероятность уязвимости). Для внутренних злоумышленников шансы обойти систему защиты высоки, а вот вероятность осуществления угрозы зависит от мотивации сотрудников.