Виды угроз

Результаты категорирования элементов информационной системы

В результате проведения процедуры категорирования элементов ИС в службе безопасности предприятия должен появиться документ "Классификатор информационной безопасности", содержащий следующие разделы:

· классификатор объектов ИС;

· классификатор средств обработки информации;

· классификатор субъектов ИС;

· матрица разрешений, производящая сопоставление классов объектов с классами средств их обработки и классами субъектов, выполняющих эту обработку.

Весьма желательным дополнением к классификатору является наличие полного и актуального списка кадрового состава предприятия, к каждой строке которого добавлено поле "класс субъекта".

Первый раздел классификатора (посвященный информационным объектам) подвергается обновлению с появлением каждого нового типа обрабатываемой информации. Третий раздел модифицируется в случае введения качественно новых (в плане работы с информацией) должностей на предприятии. Второй и особенно четвертый разделы при правильном построении классификатора практически не должны претерпевать изменений. Как уже было отмечено, список кадрового состава должен обновляться незамедлительно по факту реальных перестановок в персонале и в идеальном случае стать образующим компонентом централизованной системы распределения ключей на предприятии.

Утверждение или хотя бы согласование "Классификатора информационной безопасности" должно производиться на уровне руководства предприятия.

Лекция 9. Классификация и ранжирование угроз и уязвимостей информационной безопасности

Для ответа на вопрос «От чего (кого) защищать?» для каждого объекта защиты информации необходимо выявить весь спектр возможных угроз и существующих уязвимостей. Так как количество угроз и уязвимостей может достигать нескольких сотен (например, в германском стандарте по обеспечению базового уровня безопасности информации приведен список угроз из более 600 позиций), для отбора угроз, характерных для конкретного объекта защиты, желательно провести их классификацию, а для расчета рисков информационной безопасности необходимо провести их ранжирование. Многие компании, профессионально занимающиеся вопросами защиты информации, разрабатывают собственные модели классификации и ранжирования угроз и уязвимостей. В данной лекции использованы материалы российской компании «ЭЛВИС+» [17].

Организация обеспечения безопасности информации должна носить комплексный характер и основываться на глубоком анализе возможных негативных последствий. При этом важно не упустить какие-либо существенные аспекты. Анализ негативных последствий предполагает обязательную идентификацию возможных источников угроз, факторов, способствующих их проявлению и, как следствие, определение актуальных угроз безопасности информации.

В ходе такого анализа необходимо убедиться, что все возможные источники угроз идентифицированы, идентифицированы и сопоставлены с источниками угроз все возможные факторы (уязвимости), присущие объекту защиты, всем идентифицированным источникам и факторам сопоставлены угрозы безопасности информации.

Угроза, как следует из определения, это опасность причинения ущерба, то есть в этом определении проявляется жесткая связь технических проблем с юридической категорией, каковой является "ущерб".

Проявления возможного ущерба могут быть различны:

· моральный и материальный ущерб деловой репутации организации;

· моральный, физический или материальный ущерб, связанный с разглашением персональных данных отдельных лиц;

· материальный (финансовый) ущерб от разглашения защищаемой (конфиденциальной) информации;

· материальный (финансовый) ущерб от необходимости восстановления нарушенных защищаемых информационных ресурсов;

· материальный ущерб (потери) от невозможности выполнения взятых на себя обязательств перед третьей стороной;

· моральный и материальный ущерб от дезорганизации деятельности организации;

· материальный и моральный ущерб от нарушения международных отношений.

Ущерб может быть причинен каким-либо субъектом и в этом случае имеется на лицо правонарушение, а также явиться следствием независящим от субъекта проявлений (например, стихийных случаев или иных воздействий, таких как проявления техногенных свойств цивилизации). В первом случае налицо вина субъекта, которая определяет причиненный вред как состав преступления, совершенное по злому умыслу (умышленно, то есть деяние совершенное с прямым или косвенным умыслом) или по неосторожности (деяние, совершенное по легкомыслию, небрежности, в результате невиновного причинения вреда) и причиненный ущерб должен квалифицироваться как состав преступления, оговоренный уголовным правом.

Во втором случае ущерб носит вероятностный характер и должен быть сопоставлен, как минимум с тем риском, который оговаривается гражданским, административным или арбитражным правом, как предмет рассмотрения.

В теории права под ущербом понимается невыгодные для собственника имущественные последствия, возникшие в результате правонарушения. Ущерб выражается в уменьшении имущества, либо в недополучении дохода, который был бы получен при отсутствии правонарушения (упущенная выгода).

При рассмотрении в качестве субъекта, причинившего ущерб какую-либо личность, категория "ущерб" справедлива только в том случае, когда можно доказать, что он причинен, то есть деяния личности необходимо квалифицировать в терминах правовых актов, как состав преступления. Поэтому, при классификации угроз безопасности информации в этом случае целесообразно учитывать требования действующего уголовного права, определяющего состав преступления.

Вот некоторые примеры составов преступления, определяемых Уголовным Кодексом Российской Федерации.

Хищение - совершенные с корыстной целью противоправные безвозмездное изъятие и (или) обращение чужого имущества в пользу виновного или других лиц, причинившее ущерб собственнику или владельцу имущества.

Копирование компьютерной информации - повторение и устойчивое закрепление информации на машинном или ином носителе.

Уничтожение - внешнее воздействие на имущество, в результате которого оно прекращает свое физическое существование либо приводятся в полную непригодность для использования по целевому назначению. Уничтоженное имущество не может быть восстановлено путем ремонта или реставрации и полностью выводится из хозяйственного оборота.

Уничтожение компьютерной информации - стирание ее в памяти ЭВМ.

Повреждение - изменение свойств имущества при котором существенно ухудшается его состояние, утрачивается значительная часть его полезных свойств и оно становится полностью или частично непригодным для целевого использования.

Модификация компьютерной информации - внесение любых изменений, кроме связанных с адаптацией программы для ЭВМ или баз данных.

Блокирование компьютерной информации - искусственное затруднение доступа пользователей к информации, не связанное с ее уничтожением.

Несанкционированное уничтожение, блокирование модификация, копирование информации - любые не разрешенные законом, собственником или компетентным пользователем указанные действия с информацией.

Обман (отрицание подлинности, навязывание ложной информации) - умышленное искажение или сокрытие истины с целью ввести в заблуждение лицо, в ведении которого находится имущество и таким образом добиться от него добровольной передачи имущества, а также сообщение с этой целью заведомо ложных сведений.

Однако, говорить о злом умысле личности в уничтожении информации в результате стихийных бедствий не приходится, как и тот факт, что вряд ли стихия сможет воспользоваться конфиденциальной информацией для извлечения собственной выгоды. Хотя и в том и в другом случае собственнику информации причинен ущерб. Здесь правомочно применение категории "причинение вреда имуществу". При этом, речь пойдет не об уголовной ответственности за уничтожение или повреждение чужого имущества, а о случаях подпадающих под гражданское право в части возмещения причиненного ущерба (риск случайной гибели имущества - то есть риск возможного нанесения убытков в связи с гибелью или порчей имущества по причинам, не зависящим от субъектов. По общему правилу в этом случае убытки в связи с гибелью или порчей имущества несет собственник, однако, гражданское право предусматривает и другие варианты компенсации причиненного ущерба.

При рассмотрении в качестве субъекта, причинившего ущерб какое-либо природное или техногенное явление, под ущербом можно понимать невыгодные для собственника имущественные последствия, вызванные этими явлениями и которые могут быть компенсированы за счет средств третьей стороны (страхование рисков наступления события) или за счет собственных средств собственника информации.

Например, страхование представляет собой отношения по защите имущественных интересов физических и юридических лиц при наступлении определенных событий (страховых случаев) за счет денежных фондов, формируемых из уплачиваемых ими страховых взносов. Объектами страхования могут быть не противоречащие законодательству Российской Федерации имущественные интересы, связанные с возмещением страхователем причиненного им вреда личности или имуществу физического лица, а также вреда, причиненного юридическому лицу.

Обобщая изложенное, можно утверждать, что угрозами безопасности информации являются:

· хищение (копирование) информации;

· уничтожение информации;

· модификация (искажение) информации;

· нарушение доступности (блокирование) информации;

· отрицание подлинности информации;

· навязывание ложной информации.