4. Источники угроз.

Под источником угроз понимается непосредственный исполнитель угрозы в плане негативного воздействия ее на информацию. Источники угроз и форма их проявления предопределяют возможности формирования множества причин нарушения защищенности информации по каждому из рассмотренных аспектов защиты.

Классификация угроз

Параметры классификации	Значения параметров	Содержание значения критерия
1. Виды	1.1. Физической целостности 1.2. Логической структуры 1.3. Содержанию 1.4. Конфиденциальности 1.5. Праву собственности	Уничтожение (искажение) Искажение структуры Несанкционированная модификация Несанкционированное получение Присвоение чужого права
2. Происхождение угроз	2.1. Случайные         2.2. Преднамеренные	Отказы Сбои Ошибки Стихийные бедствия Побочные влияния Злоумышленные действия людей
3. Предпосылки появления	3.1. Объективные   3.2. Субъективные	Количественная недостаточность Качественная недостаточность Разведорганы иностранных государств Промышленный шпионаж Уголовные элементы Недобросовестные сотрудники
4. Источники угроз	4.1. Люди 4.2. Технические устройства 4.3. Модели, алгоритмы, программы 4.4. Технические схемы обработки 4.5. Внешняя среда	Посторонние лица Пользователи Персонал Регистрации Передачи Хранения Переработки Выдачи Общего назначения Прикладные Вспомогательные Ручные Человеко-машинные Внутримашинные Сетевые Состояние атмосферы Побочные шумы Побочные сигналы

46. Управление информационными рисками при проектировании системы информационной безопасности.

Управленческий (административный) аспект информационной безопасности – это следующие действия общего характера, предпринимаемые руководством организации:

• Формирование политики безопасности.

• Реальное воплощение политики безопасности – Программа безопасности (Security plans) – поддержание режима безопасности (программы администрирования безопасности, разработка стратегии безопасности фирмы, планы действий….)

• Реализация безопасности в жизненном цикле информационной системы.

Руководство организации должно осознать необходимость поддержания режима безопасности – и выделение на эти цели соответствующих ресурсов. Главное на управленческом уровне:

• выработать многоуровневую политику безопасности, определить общее направление работ, подход организации к защите своих информационных активов,

• сформировать комплексную программу обеспечения информационной безопасности, обеспечить ее выполнение, выделяя ресурсы и контролируя состояние дел.

Управление рисками

Деятельность организации подвержена множеству рисков. Суть работы по управлению рисками состоит в том, чтобы оценить их размер и выработать меры по их уменьшению, а затем убедиться, что риски заключены в приемлемые рамки. Риск надо контролировать постоянно! Для процедуры управления рисками характерно: связанность всех этапов и их итерационность. Управление рисками - процесс циклический. Например, если первичный анализ не удовлетворил, то следует увеличить степень детализации (расширить границы анализа), например, произвести повторную идентификацию активов. Последний этап - оценка остаточного риска, и если надо - возможны многократные возвраты к началу.

Поэтапная оценка коммерческого риска и определения необходимого уровня безопасности включает:

1 этап - Анализ рисков,

2 этап - Выбор и реализация эффективных и экономичных защитных мер (выбор стратегии защиты и конкретных механизмов защиты, технологических решений).