125 Кібербезпека / 4 Курс / 4.2_Управління інформаційною безпекою / Лiтература / Навчальний посібник. Інформаційна безпека. Кавун С.В

Ідентифікатори і короткий опис частини загроз, які можуть

В окрему модель загроз ОІД доцільно включити наступні розділи, інформація для яких уже зібрана протягом першого й другого етапів.

1. Ситуаційний план ОІД:

o план розміщення об'єкта щодо зовнішнього середовища; o характеристика об'єктів із зовнішнього середовища;

o існуючі організаційні заходи й технічні засоби охорони ОІД;

o місця можливого розміщення стаціонарних і мобільних засобів ведення технічної розвідки;

o напрями, сектори і зони можливого ведення технічної розвідки.

2.Генеральний план ОІД: o план ОІД;

o загальна характеристика будівлі, в якій розташований ОІД; o характеристика приміщень, де циркулює ІПЗ;

o характеристика суміжних приміщень.

3.Основні технічні засоби:

o схема розміщення ОТЗ на генеральному плані ОІД; o опис ОТЗ.

4. Допоміжні технічні засоби і системи:

o схема розміщення ДТСЗ на генеральному плані ОІД; o опис ДТСЗ.

5.Телекомунікації ОТЗ і ДТСЗ, будівельні та інженерні конструкції,

атакож комунікації, які виходять за межі контрольованої зони:

o опис із вказівкою на генеральному плані. 6. Опис загроз для ОІД:

o ідентифікація загроз (див. приклад вище);

o вказівка на генеральному плані місць виникнення і прояву ідентифікованих загроз.

1.4.4. Джерела загроз та окрема модель порушника

Загрози самі по собі не виникають, носіями загроз безпеки інформації є джерела загроз. Джерелами загроз можуть бути:

суб'єкти (особи); об'єктивні прояви.

Причому джерела загроз можуть міститися і перебувати як усередині організації, що захищається, – внутрішні джерела, так і поза нею – зовнішні джерела.

Усі джерела загроз безпеки інформації можна розділити на три основні групи [29]:

1.Обумовлені діями суб'єкта (антропогенні джерела загроз).

2.Обумовлені технічними засобами (техногенні джерела загроз).

3.Обумовлені стихійними джерелами.

Антропогенними джерелами загроз безпеки інформації виступають суб'єкти, дії яких можуть бути кваліфіковані як умисні або випадкові злочини.

Перша група є порівняно найширшою і становить найбільший інтерес з погляду організації захисту, оскільки дії суб'єкта завжди можна оцінити, спрогнозувати та вжити адекватні заходи. Методи протидії в цьому випадку є керованими і безпосередньо залежать від організаторів захисту інформації. Як антропогенне джерело загроз можна розглядати суб'єкта, що має доступ (санкціонований або несанкціонований) до роботи із штатними засобами об'єкта захисту.

Суб'єкти (джерела), дії яких можуть призвести до порушення безпеки інформації, можуть бути як зовнішніми [1.А], так і внутрішніми [1.B]. Зовнішні суб'єкти (джерела) можуть бути випадковими або умисними і мати різний рівень кваліфікації. Внутрішні суб'єкти (джерела), як правило, є висококваліфікованими фахівцями у сфері розробки й експлуатації програмного забезпечення і технічних засобів, знайомими із специфікою вирішуваних завдань, структурою і основними функціями та принципами роботи програмно-апаратних засобів захисту інформації,

мають можливість використання штатного устаткування і технічних засобів мережі.

Необхідно враховувати також, що особливі підгрупи внутрішніх антропогенних джерел складають особи з порушеною психікою і спеціально впроваджені та завербовані агенти, які можуть бути представниками основного, допоміжного і технічного персоналу, а також служби захисту інформації. Остання підгрупа розглядається у складі перерахованих вище джерел загроз, але методи захисту від загроз для цієї підгрупи можуть мати свої відмінності.

Друга група охоплює джерела загроз, зумовлені технократичною діяльністю людини і розвитком цивілізації. Проте йдеться про випадки, коли наслідки, викликані такою діяльністю, вийшли з-під контролю людини і існують самі по собі.

Даний клас джерел загроз безпеки інформації особливо актуальний, оскільки в умовах, що склалися, експерти очікують різке зростання числа техногенних катастроф, викликаних фізичним і моральним старінням устаткування, а також відсутністю матеріальних засобів на його оновлення. Технічні засоби, що є джерелами потенційних загроз безпеці інформації, так само можуть бути зовнішніми [2.A] і внутрішніми [2.B].

Третя група джерел загроз охоплює обставини, що розглядаються як чинники, які мають непереборну силу, тобто такі обставини, які мають об'єктивний і абсолютний характер, поширюючись на всі об’єкти і всіх суб’єктів діяльності у сфері інформаційного обміну. До непереборної сили в законодавстві та договірній практиці відносять стихійні лиха чи інші обставини, які неможливо передбачити або їм запобігти, або ж можливо передбачити, але неможливо запобігти при сучасному рівні розвитку людських знань і можливостей. Такі джерела загроз абсолютно не піддаються прогнозуванню, і тому заходи захисту від них повинні застосовуватися завжди.

Стихійні джерела потенційних загроз ІБ, як правило, є зовнішніми стосовно об'єкта захисту, і під ними розуміються, перш за все, природні катаклізми [3.A]. Класифікація і перелік джерел загроз наведені у табл. 1.6 [43] і рис. 1.13.

Таблиця 1.6

[2.A.2] мережі інженерних комунікацій (водопостачання, каналізації)

[2.A.3] транспорт

[2.B.0] Внутрішні техногенні джерела загроз

[2.B.1] неякісні технічні засоби обробки інформації

[2.B.2] неякісні програмні засоби обробки інформації

[2.B.3] допоміжні засоби (охорони, сигналізації, телефонії)

[2.B.4] інші технічні засоби, вживані в установі

[3.0.0] СТИХІЙНІ ДЖЕРЕЛА ЗАГРОЗ

Закінчення табл. 1.6

[3.A.0] Зовнішні стихійні джерела

[3.A.1] пожежі

[3.A.2] землетруси

*Особливу групу внутрішніх антропогенних джерел становлять, як зазначалося вище, спеціально впроваджені та завербовані агенти з числа основного, допоміжного, технічного персоналу або представників служби захисту інформації. Ця група не розглядається як самостійна, але під час аналізу, в разі виникнення потенційної можливості впровадження агентів, необхідно враховувати особливості захисту від таких джерел при розгляді можливостей внутрішніх антропогенних джерел.

**У даному випадку під терміном "інші форс-мажорні обставини" розуміється юридична складова форс-мажору, тобто різні рішення найвищих державних органів, страйки, війни, революції і т. п., що можуть призвести до виникнення обставин непереборної сили.

З метою впорядкування і визначення актуальної кількості джерел загроз, які розглядаються, необхідно їх ранжирувати*. Далі звернемося до викладу методу ранжування, який спирається на метод, представлений у джерелі [2].

Під час вибору методу ранжування джерел загроз можна використовувати методологію, викладену в міжнародних стандартах [146], а також практичний досвід експертів у сфері інформаційної безпеки.

Усі джерела загроз мають різний ступінь небезпеки Si, яку можна кількісно оцінити, провівши їх ранжування. При цьому оцінка ступеня небезпеки проводиться за непрямими показниками.

* Ранжирування – розташування значень ознаки, що змінюється, в порядку зростання або спадання. Вважається найпростішим способом впорядкування первинних документів. (Короткий словник із соціології)