Анализ угроз и разработка политик безопасности информационной системы: филиал коммерческого банка

Структурная модель позволяет выполнять функции, возлагаемые на систему. ИС состоит из следующих элементов:

автоматизированных рабочих мест (АРМ), с которых операторы вводят/запрашивают информацию, поступающую в устной или письменной форме;

выход в Интернет;

сервера обработки, на котором установлена система управления базами данных (СУБД) и производится автоматизированный анализ текущей ситуации;

сервера резервного копирования;

автоматизированного рабочего места администратора информационной безопасности;

автоматизированного рабочего места администратора БД.

автоматизированного рабочего места бухгалтера.

автоматизированного рабочего места руководства.

Графическое изображение конфигурации системы - ее структурная модель, на которой отображены аппаратные компоненты ИС, необходима для наглядного представления процесса функционирования системы.

Рис. 1 - Структурная модель информационной системы.

После того как составлено графическое изображение ИС рассматриваемой организации, которая представляет собой совокупность вычислительных средств управляющего кадрами предприятия, определяются ответственные за аппаратные ресурсы; кто является их пользователем и как пользователи используют или будут использовать тот или иной компонент системы.

Таблица 1 - Определение полномочий пользователей по отношению к аппаратным компонентам ИС

При идентификации информационных ресурсов ИС учитывается то, что не вся информация в организации требует обеспечение максимального уровня безопасности. Для каждого вида информации определяется уровень защиты. Информация в организации классифицируется на критичную и чувствительную. Критичность информации подразумевает, что информация должна быть доступна там и тогда, когда она требуется для непрерывности и живучести бизнеса. Критичность информации прямо связана с критичностью процессов доступа к информации.

По степени критичности информация может быть, например, следующей:

· существенная - информация или интенсивность обработки информации, потеря которой может нанести серьезный или непоправимый ущерб организации;

· важная - информация или интенсивность обработки информации, потеря которой может нанести средний, но поправимый ущерб организации;

· нормальная - информация или интенсивность обработки информации, потеря которой представляет минимальное разрушение.

Чувствительность информации определяется как мера влияния на организацию неправильного отношения с ней. При категорировании чувствительной информации необходимо отвечать на вопрос: «Каково возможное влияние на организацию неавторизованной модификации, раскрытия или разрушения информации и какова вероятность возникновения такого влияния?».

По степени чувствительности могут быть выделены следующие виды информации:

· высоко чувствительная - информация высшей чувствительности, неправильное обращение с которой вероятно приведет к значительному ущербу для организации. Примерами являются информация о приобретениях/продажах, стратегические бизнес-планы, криптографические ключи и материалы.

· чувствительная - информация, неправильное обращение с которой может привести к существенному ущербу для организации. Примерами являются персональная данные, информация о клиентах, бюджеты департаментов.

· внутренняя - информация, неправильное обращение с которой может нанести некоторый ущерб организации. Примерами являются телефонные книги, функции подразделений организации.

· открытая - информация, одобренная для опубликования. Открытая информация не создается сразу как открытая, а получает такую классификацию после опубликования.

В зависимости от особенностей деятельности организации к информации может быть применена другая классификация. Например, деление информации по степени критичности относительно доступности, целостности и конфиденциальности.

Степень критичности информации, в этом случае, определяется как мера влияния информации на бизнес-цели организации.

По степени критичности относительно доступности виды информации могут быть следующие:

· критическая - информация, без которой работа субъекта останавливается;

· очень важная - информация, без которой субъект может работать, но очень короткое время;

· важная - информация, без которой субъект может работать некоторое время, но рано или поздно она понадобится;

· полезная - информация, без которой субъект может работать, но ее использование экономит ресурсы;

· несущественная - устаревшая или неиспользуемая информация, не влияющая на работу субъекта.

По степени критичности относительно целостности виды информации могут быть следующие:

· критическая - информация, несанкционированное изменение которой приведет к неправильной работе субъекта; последствия модификации необратимы;

· очень важная - информация, несанкционированное изменение которой приведет к неправильной работе субъекта через некоторое время, если не будут предприняты некоторые действия; последствия модификации необратимы;

· важная - информация, несанкционированное изменение которой приведет к неправильной работе субъекта через некоторое время, если не будут предприняты некоторые действия; последствия модификации обратимы;

· значимая - информация, несанкционированное изменение которой скажется через некоторое время, но не приведет к сбою в работе субъекта; последствия модификации обратимы;

· незначимая: информация, несанкционированное изменение которой не скажется на работе системы.

По степени критичности относительно конфиденциальности виды информации могут быть следующие:

· критическая - информация, разглашение которой приведет к невозможности реализации целей системы или к значительному ущербу;

· очень важная - информация, разглашение которой приведет к значительному ущербу, если не будут предприняты некоторые действия;

· важная - информация, разглашение которой приведет к незначительному ущербу, если не будут предприняты некоторые действия;

· значимая - информация, разглашение которой приведет только к моральному ущербу;

· незначимая - информация, разглашение которой не влияет на работу системы.

Таблица 2 - Идентификация информационных ресурсов.

Информация о выплатах и информация о приёме платежей получили статус высокочувствительной и существенной, потому что неправильное обращение или потеря её может нанести серьезный или непоправимый ущерб организации. Восстановить эти данные очень сложно.

Информация по вкладам признана высоко чувствительной и важной, так как неправильное обращение с ней может привести к материальному ущербу и приостановке деятельности организации, речь идёт о неразглашение конфиденциальной информации.

Информация по ведению бухгалтерии определена как внутренняя и важная, т.к. неправильное обращение и потеря ее, может привести к приостановке деятельности и материальному ущербу. В случае потери или несанкционированной модификации данную информацию можно восстановить.

Информации по управлению системой безопасности и информация об управлении БД назначена степень чувствительности - чувствительная, так как неправильное обращение с ней может нанести ущерб учреждению.

Информация о сотрудниках является внутренней, так как ее потеря может привести к некоторому ущербу учреждению.

Ответственным за сохранность информации является каждый пользователь в соответствии со своими служебными полномочиями.

На основе результатов анализа на базе структурной модели разрабатывается информационно - логическая модель ИС организации. На ней с привязкой к компонентам структуры и конфигурации среды ИС и среды организации показываются локализация объектов защиты, циркуляция ИР, подлежащих защите, сфера действия протоколов информационных технологии в ИС и операционных системах (ОС).

На основе определенных полномочий пользователя и степени критичности и чувствительности информации строится информационно - логическая (инфологическая) модель ИС.

Исходя из предыдущего анализа, ясно, что защите подлежат следующие информационные ресурсы:

1. Информация по вкладам

2. Информация о выплатах

3. Информация о приёме платежей

4. Информация по ведению бухгалтерии

5. Информация по управлению системой безопасности

6. Информация о сотрудниках

7. Информация по управлению БД

2. Разработка перечня угроз и их описания на основе стандартной модели угроз

2.1 Описание угроз

Список угроз взят в соответствии с номером варианта:

· неавторизованное раскрытие защищаемой информации;

· Ухудшение обслуживания пользователей защищаемой информации.

После составляется детальное описание каждой угрозы из этого списка. Описание каждой угрозы соответствует модели угроз, которая включает в себя:

· нападения пригодные для реализации угрозы (возможность, методы, уязвимости);

· объекты нападений;

· тип потери (конфиденциальность, целостность, доступность и т. д.);

· масштаб ущерба;

· источники угрозы. Для источников угроз - людей, модель нарушителя должна включать:

? указание их опыта;

? указание знаний;

? указание доступных ресурсов, необходимых для реализации угрозы;

? возможную мотивацию их действий.

1. Неавторизованное раскрытие защищаемой информации.

Эта угроза является случайным или преднамеренным выпуском информации людьми, с осуществлением или без осуществления доступа к информационному процессу во время выполнения их обычных обязанностей.

· Физический уровень:

Возможность нападения: средняя;

Уязвимость: доступное расположение и незащищенность кабельных линий и соответствующего оборудования от повреждений;

Метод нападения: преднамеренный обрыв сетевого кабеля или розетки, использование специальной аппаратуры, позволяющей перехватывать пакеты сообщений и осуществлять их замену, а также другая спец. аппаратура;

Объект нападения: аппаратное оборудование, носители информации;

Тип потери: затруднение деятельности, целостность;

Мотивация нападения: безответственное отношение или корыстные цели.

Источник угрозы: персонал или постороннее лицо;

Опыт: не обязателен;

Знания: присутствуют;

Доступные ресурсы: информационные;

Масштаб ущерба: средний.

· Сетевой уровень:

Возможность нападения: низкая.

Уязвимость: отсутствие проверки прав и возможностей пользователя;

Метод нападения: неавторизованное использование сетевых аппаратных средств или коммутатора, использование программы для взлома сетей;

Объект нападения: сетевые аппаратные средства, коммутатор;

Тип потери: потеря конфиденциальности информации;

Возможная мотивация действий: безответственное отношение, корыстный интерес;

Источник угрозы: персонал, посторонние;

Опыт: не обязателен;

Знания: присутствуют;

Доступные ресурсы: информационные;

Масштаб ущерба: средний.

· Уровень сетевых приложений:

Возможность нападения: средняя;

Уязвимость: отсутствие проверки прав и возможностей пользователя;

Метод нападения: несанкционированное использование почтовых программных средств, использование чужого логин-пароля;

Объект нападения: сеть, почтовые программные средства;

Тип потери: потеря конфиденциальности информации;

Возможная мотивация действий: безответственное отношение, корыстный интерес;

Источник угрозы: персонал, посторонние;

Знания: информационные;

Опыт: не обязателен;

Доступные ресурсы: информационные;

Масштаб ущерба: средний.

· Уровень операционных систем (ОС):

Возможность нападения: средняя;

Уязвимость: отсутствие проверки прав и возможностей пользователя;

Метод нападения: несанкционированное использование ОС, вход под чужим логин-паролем;

Объект нападения: ОС;

Тип потери: потеря конфиденциальности информации, затруднение деятельности, целостность;

Возможная мотивация действий: безответственное отношение, корыстный интерес;

Источник угрозы: персонал, посторонние;

Опыт: начальный уровень;

Знания: присутствуют;

Доступные ресурсы: информационные;

Масштаб ущерба: высокий.

· Уровень систем управления базами данных (СУБД):

Возможность нападения: средняя;

Уязвимость: уязвимость СУБД, ошибки пользователей, сбой ОС.

Метод нападения: несанкционированное использование СУБД;

Объект нападения: СУБД;

Тип потери: потеря конфиденциальности информации;

Возможная мотивация действий: безответственное отношение, корыстный интерес;

Источник угрозы: персонал, посторонние;

Опыт: не обязателен;

Знания: средний уровень;

Доступные ресурсы: информационные;

Масштаб ущерба: средний.

· Уровень приложений, обеспечивающих реализацию основных функций ИС:

Возможность нападения: высокая;

Уязвимость: доступность приложений;

Метод нападения: несанкционированное использование приложений, обеспечивающих реализацию основных функций ИС;

Объект нападения: приложения, обеспечивающие реализацию основных функций ИС;

Тип потери: потеря конфиденциальности информации, затруднение деятельности, целостность;

Возможная мотивация действий: безответственное отношение, корыстный интерес;

Источник угрозы: персонал, посторонние;

Опыт: не обязателен;

Знания: средний уровень;

Доступные ресурсы: АРМ;

Масштаб ущерба: высокий.

· Уровень бизнес-процессов организации:

Возможность нападения: высокая;

Уязвимость: отсутствие проверки прав и возможностей пользователя;

Метод нападения: неавторизованный доступ к БД;

Объект нападения: бизнес-процессы организации;

Тип потери: потеря конфиденциальности информации, затруднение деятельности;

Возможная мотивация действий: безответственное отношение, корыстный интерес;

Источник угрозы: персонал, посторонние;

Опыт: не обязателен;

Знания: средний уровень;

Доступные ресурсы: не обязательны;

Масштаб ущерба: высокий.

2. Ухудшение обслуживания пользователей защищаемой информации.

Эта угроза являются незапланированной потерей доступности или сниженной производительностью всего информационного процесса или его части на короткие или продолжительные периоды времени.

· Физический уровень:

Возможность нападения: средняя;

Уязвимость: открытость доступа к линиям связи, кабелям, неисправность в канале связи;

Методы нападения: частичное или неполное выведение из строя аппаратных средств;

Объект нападения: сетевое оборудование, аппаратные ресурсы;

Тип потери: затруднение деятельности, потеря производительности;

Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

Источник угроз: персонал;

Опыт: начальный уровень;

Знания: не обязательны;

Доступные ресурсы: не обязательны;

Масштаб ущерба: низкий.

· Сетевой уровень:

Возможность нападения: средняя;

Уязвимость: использование некачественного программного обеспечения;

Методы нападения: перегрузка системы, сбой в операционной системе, частичное выведение из строя сетевого оборудования;

Объект нападения: сетевые аппаратные средства;

Тип потери: затруднение деятельности;

Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

Источник угроз: персонал;

Опыт: начальный уровень;

Знания: не обязательны;

Доступные ресурсы: не обязательны;

Масштаб ущерба: низкий.

· Уровень сетевых приложений:

Возможность нападения: средняя;

Уязвимость: использование некачественного программного обеспечения, определяется ошибками драйверов;

Методы нападения: перегрузка системы, сбой в операционной системе, внедрение программного кода;

Объект нападения: сетевые аппаратные средства;

Тип потери: затруднения в деятельности организации;

Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

Источник угроз: вирусы, персонал, администраторы, злоумышленники: конкуренты, хакеры, фрикеры; и т.п.;

Опыт: средний уровень;

Знания: не обязательны;

Доступные ресурсы: не обязательны;

Масштаб ущерба: средний.

· Уровень операционных систем (ОС):

Возможность нападения: средняя;

Уязвимость: изъяны используемой операционной системы;

Методы нападения: выведение из строя ОС программным кодом;

Объект нападения: операционная система АРМ;

Тип потери: затруднение деятельности;

Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.).

Источник угроз: вирусы;

Опыт: средний уровень;

Знания: не обязательны;

Доступные ресурсы: не обязательны;

Масштаб ущерба: средний.

· Уровень систем управления базами данных (СУБД):

Возможность нападения: средняя;

Уязвимость: использование некачественного программного обеспечения, неполная автоматизация сервера БД;

Методы нападения: несвоевременное исправление ошибок СУБД, умышленное нанесение вреда системе администратором БД;

Объект нападения: АРМ администратора СУБД, сервер обработки БД, сервер резервного копирования;

Тип потери: затруднение деятельности, целостность;

Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.), умышленное нанесение вреда ИС.

Источник угроз: персонал, оборудование, программное обеспечение;

Опыт: средний уровень;

Знания: необходимые для выполнения своих должностных обязанностей;

Доступные ресурсы: информационные;

Масштаб ущерба: средний.

· Уровень приложений, обеспечивающих реализацию основных функций ИС:

Возможность нападения: средняя;

Уязвимость: использование некачественного программного обеспечения, неполная автоматизация сервера БД;

Методы нападения: умышленное нанесение вреда системе администратором БД, перегрузка системы, сбой;

Объект нападения: информация, хранящаяся на сервере обработки данных и на сервере резервного копирования;

Тип потери: затруднение деятельности, целостность;

Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.), умышленное нанесение вреда ИС.

Источник угроз: персонал, оборудование, программное обеспечение;

Опыт: начальный уровень;

Знания: необходимые для выполнения своих должностных обязанностей;

Доступные ресурсы: информационные;

Масштаб ущерба: средний.

· Уровень бизнес-процессов организации:

Возможность нападения: средняя;

Уязвимость: использование некачественного программного обеспечения, неполная автоматизация сервера БД, недобросовестное исполнение должностных обязанностей;

Методы нападения: несвоевременное исправление ошибок СУБД, умышленное нанесение вреда системе администратором БД, перегрузка системы, сбой;

Объект нападения: информация, хранящаяся на сервере обработки данных и на сервере резервного копирования;

Тип потери: затруднение деятельности, целостность;

Возможная мотивация действий: отсутствует (или небрежность, халатность и т. п.), умышленное нанесение вреда ИС.

Источник угроз: персонал, оборудование, программное обеспечение;

Опыт: средний уровень;

Знания: необходимые для выполнения своих должностных обязанностей;

Доступные ресурсы: информационные;

Масштаб ущерба: средний.

2.2 Квалификация угроз актуальных для информационной системы

При проведении оценки рисков должны рассматриваться три основные категории возможных потерь, описанные в таблице 3.

Таблица 3 - Категории возможных потерь